iPhone IKEv2 سے RouterOS تک: کون سی شناخت کہاں جاتی ہے
iOS پر IKEv2 سرنگ کا تعین چار الگ دعوے کرتے ہیں: ڈائل کیا گیا پتہ، متوقع سرور شناخت، دعویٰ شدہ کلائنٹ شناخت اور سرٹیفکیٹ مواد۔
MikroTik گیٹ وے تک پہنچنا IKEv2 تعیناتی کی صرف آدھی منتقلی حل کرتا ہے اور اس کے سوا کچھ نہیں۔ اس کے بعد چار الگ دعوے طے کرتے ہیں کہ سرنگ بنے گی یا نہیں: وہ پتہ جس پر فون ڈائل کرتا ہے، متوقع سرور شناخت، اپنے لیے بیان کردہ شناخت، اور وہ سرٹیفکیٹ مواد جو اس دعوے کی تائید کرتا ہے۔ انہیں اسی ترتیب سے جانچیں، اور پہلے ایسے دعوے پر رکیں جو گیٹ وے کے پیش کردہ سے میل نہیں کھاتا۔ ہر ایک الگ جگہ پر ترمیم ہوتا ہے، اسی لیے غلط ترمیم عام طور پر خرابی کو ٹھیک کرنے کے بجائے منتقل کر دیتی ہے۔
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
پروفائل کے خانے اسی ترتیب سے جانچیں جس میں تبادلہ انہیں استعمال کرتا ہے
دور کا پتہ پہلے IKE پیکٹ کی منزل ہے اور اس سے زیادہ کچھ نہیں۔ دور کا شناخت کنندہ وہ ہے جسے فون گیٹ وے کا اپنا ثابت کرنے کی توقع کرتا ہے، اور یہ نام ہے، راستہ نہیں۔ دونوں کو ایک ہی ہوسٹ نام سے بھرنا تب کام کرتا ہے جب گیٹ وے کے سرٹیفکیٹ میں وہ نام ہو، اور نہ ہو تو روٹنگ مسئلے جیسا دکھائی دینے والے انداز میں ناکام ہوتا ہے۔ پروفائل کو بھرنے والے خانوں کی فہرست کے بجائے دعووں کی ترتیب کے طور پر پڑھیں۔
مقامی شناخت کنندہ خود فون کا دعویٰ ہے، اور یہ ایسا نام ہونا چاہیے جسے RouterOS کی شناخت اندراج فون کے پیش کردہ کلائنٹ سرٹیفکیٹ کے لیے قبول کرے۔ اگر دونوں میل نہ کھائیں تو گیٹ وے سرٹیفکیٹ کی خود تصدیق کے بعد رابطہ مسترد کر دیتا ہے، اور لاگ نام رکھنے کا نہیں بلکہ اجازت کا مسئلہ دکھائی دیتا ہے۔
شناخت کنندوں کو گیٹ وے کے پیش کردہ کے مقابلے میں جانچیں
سرٹیفکیٹ تصدیق کے لیے ترتیب دیا گیا RouterOS ہم منصب اندراج اپنا سرٹیفکیٹ پیش کرتا ہے، اور جب تک آپ نے مختلف ترتیب نہ دی ہو اس کی شناخت اسی سرٹیفکیٹ سے لی جاتی ہے۔ اگر فون کا دور کا شناخت کنندہ گیٹ وے کا DNS نام بتاتا ہے تو گیٹ وے کے سرٹیفکیٹ کو وہ نام ایسی جگہ درکار ہے جسے فون قبول کرے، عام طور پر موضوع کے متبادل نام میں۔ کسی دوسرے عام نام کے لیے جاری سرٹیفکیٹ کنجی اور زنجیر درست ہونے پر بھی تصدیق نہیں ہوگا۔
منظم شدہ Apple پروفائل شناخت کے خانوں کے علاوہ جانچی جانے والی سرٹیفکیٹ نام کی پابندی بھی رکھ سکتے ہیں۔ ترتیبات کی سکرین جو دکھاتی ہے اس سے تصدیق کا نام اندازہ لگانے کے بجائے پے لوڈ کا معائنہ کریں، کیونکہ دونوں ایک ہی ترتیب نہیں ہیں۔
جانچیں کہ کلائنٹ سرٹیفکیٹ کنجی ہے، محض اعتماد کا سہارا نہیں
CA سرٹیفکیٹ درآمد کرنے سے فون کو گیٹ وے کی تصدیق کا ذریعہ ملتا ہے۔ یہ فون کو کلائنٹ شناخت نہیں دیتا، اور سرٹیفکیٹ تصدیق کے لیے کلائنٹ کے پتوں والے سرٹیفکیٹ اور اس کی نجی کنجی منظور شدہ اندراج راستے سے اکٹھے پہنچانا ضروری ہے۔ نجی کنجی کے بغیر بنایا گیا PKCS#12 ایسا پروفائل بناتا ہے جو صاف نصب ہوتا ہے اور کچھ بھی تصدیق نہیں کرتا۔
کلائنٹ پتے کو RouterOS جانب سے متوقع شناخت بھی چاہیے، یعنی موضوع یا موضوع کا متبادل نام متعلقہ شناخت ترتیب سے ہم آہنگ ہونا چاہیے۔ ایک ہی CA سے کلائنٹ اور سرور سرٹیفکیٹ جاری کرنا زنجیر کو سہل بناتا ہے اور دونوں پتوں کو باہم بدلنے کے قابل نہیں کرتا۔
جانچیں کہ RouterOS پالیسی وہ نام قبول کرتی ہے
گیٹ وے پر ہم منصب اندراج تبادلے کا طریقہ اور تصدیق کا اسلوب مقرر کرتا ہے، اور شناخت اندراج قبول شدہ دور کی شناخت کو سرٹیفکیٹ اور اس کے بعد کی پالیسی سے جوڑتا ہے۔ RouterOS v7 میں یہ جوڑ IPsec ہم منصب اور شناخت اندراجات کے ذریعے ظاہر ہوتا ہے، مثلاً auth-method=digital-signature والا IKEv2 ہم منصب۔ پرانے ورژن کے لیے لکھی گئی رہنما نہیں، اپنے نصب شدہ ورژن کی اصل مینو مواد جانچیں۔
یہیں عدم مطابقت درست کرنا سب سے سستا ہے، کیونکہ گیٹ وے آپ کو موصول شدہ اور مطلوبہ دونوں شناخت بتا سکتا ہے۔ غلطی کو خاموش کرنے کے لیے قبول شدہ شناخت کو وسیع کرنا وہ بندھن ہٹا دیتا ہے جس نے تعیناتی کو معنی دیا تھا۔
کچھ بھی ترمیم کرنے سے پہلے جانچیں کہ کون سا مرحلہ ناکام ہوا
دونوں سروں پر کوشش پڑھیں اور تجویز تبدیل کرنے سے پہلے اس کی درجہ بندی کریں۔ تجویز کی عدم مطابقت، گم شدہ دستخط کنجی، ناقابل اعتماد جاری کنندہ، غلط ہم منصب شناخت کنندہ اور مسترد شدہ کلائنٹ اجازت — سب فون سے مردہ سرنگ جیسے دکھائی دیتے ہیں، اور ہر ایک کا الگ مالک ہے۔ پانچوں ترتیبات ایک ساتھ بدلنا یقینی بناتا ہے کہ آپ نتیجے سے کچھ نہیں سیکھیں گے۔
پیش کی گئی شناخت، متوقع شناخت، سرٹیفکیٹ کا جاری کنندہ اور سلسلہ نمبر اور متعلقہ پالیسی کا نام درج کریں، اور نجی کنجیاں اور پروفائل کے راز اس اندراج سے باہر رکھیں۔ تصدیق کامیاب ہونے پر، کسی نجی خدمت اور اس کے جواب کی جانچ کریں، کیونکہ IKE تبادلہ ختم ہونے کے بعد بھی پتہ تقسیم، منتخب کنندگان، DNS اور رسائی پالیسی کو کام کرنا ہے۔