IKEv2 sertifikatining SAN: nima uchun identifikatsiya tekshiruvi muvaffaqiyatsiz bo‘ladi

Sertifikatingiz ishonchli CA ga zanjirlangan, sanalar joyida, hamkor esa baribir 1-bosqichni identifikatsiya xatosi bilan yakunlashdan bosh tortadi. Yetib borish va amaldagi imzo IKEv2 mijozi tekshiradigan narsaning faqat yarmidir. Ikkinchi yarmi — u kutayotgan identifikatsiya sertifikatda to‘g‘ri maydonda ko‘rinadimi, va bu kutilmani profil belgilaydi, sertifikat fayl nomi emas.

Alomat har doim bir xil shaklda

Ulanish profili xost nomidan IP manzilga o‘zgartiriladi yoki DNS nomi bo‘lgan sertifikatdan faqat manzillarni saqlovchi sertifikatga yangilanadi vatunnel muzokarani to‘xtatadi. Tarmoq yo‘lida hech narsa o‘zgarmadi. Mijoz hamkorga yetib boradi, sertifikat oladi va hamkor identifikatsiyasini rad etadi, chunki unga kutish aytilgan identifikator u qabul qiladigan maydonda ifodalanmagan. Yangilanishlar odatiy sabab, chunki almashtiruvchi sertifikat ko‘pincha almashtirilayotganidan boshqa shablondan keladi.

Keyin ikkala tomon ham foydasiz narsani qayd etadi, shuning uchun xato odatda sertifikat muammosi sifatida xabar qilinadi. Mijoz jurnali kerakli identifikatsiyani nomlashi mumkin, va o‘sha nom sizga kerakli ishora, amal qilish muddati emas.

Identifikator turini moslashtiring, faqat qiymatini emas

dNSName SAN va iPAddress SAN turli moslashtirish qoidalariga ega turli maydonlar, shuning uchun 203.0.113.10 ni DNS satri sifatida saqlovchi sertifikat IP identifikatsiyasini kutayotgan mijozni qanoatlantirmaydi. Zamonaviy tekshiruvchilar umumiy nomni asosan e’tiborsiz qoldiradi, shuning uchun sertifikat tafsilotlaridagi do‘stona yorliq nima mos kelishini isbotlamaydi. Agar muammoni hal qilish paytida xost nomi manzil bilan almashtirilgan bo‘lsa, tekshirguningizcha kutilgan identifikatsiya ham u bilan birga ko‘chgan deb hisoblang. Profildagi satrni SAN dagi satr bilan harfma-harf solishtiring, chunki oxiridagi nuqta yoki ortiqcha bo‘sh joy ham yetarli.

Joker belgilar faqat DNS uchun qulaylikdir va o‘z moslashtirish qoidalariga bo‘ysunadi, bu IP ga asoslangan profil hech qachon ularga tayanmasligi kerakligining yana bir sababi.

Har bir mijoz kutilmani qayerda saqlashini toping

strongSwan da sertifikat bilan solishtiriladigan qiymat hamkor identifikatsiyasi sozlamasidan keladi: rightid klassik konfiguratsiyada yoki id swanctl dagi masofaviy ulanish bo‘limining id qismidan. Uning Apple IKEv2 bilan o‘zaro ishlash haqidagi hujjatlari bu yerda foydali, chunki profil bilan boshqariladigan mijoz ishlatadigan identifikatsiya qoidalarini tushuntiradi va bu qoidalar tarmoqda tasodifiy ko‘rinadigan nomuvofiqliklar sinfini izohlaydi.

Apple konfiguratsiya profillari masofaviy identifikator maydonini saqlaydi va mijoz aynan o‘sha yerdagi qiymatni tekshiradi, ulanish sozlamalaridagi server manzilini emas. Windows va qurilma mijozlarining har birida o‘z maydoni va o‘z standart qiymati bor, standart qiymat ko‘pincha siz kiritgan manzilga ergashadi. Ikki maydon kelishmasa, mijoz haqiqatda o‘qiydigan maydon g‘olib chiqadi va bu kamdan-kam siz tahrirlagan maydon bo‘ladi.

Profil yoki sertifikatni ataylab tuzating

Biror narsani o‘zgartirishdan oldin hamkor sertifikatini tasdiqlangan vositalar bilan tekshiring va SAN yozuvlarini turlari bilan sanab chiqing. Bu tekshiruv maxfiy kalitni ham, yuklashni ham talab qilmaydi va savolni bir necha soniyada hal qiladi. Agar joylashtirish bitta DNS identifikatsiyasini ko‘zda tutsa, sertifikat uni dNSName yozuvi sifatida saqlashi kerak, agar joylashtirish manzilni ko‘zda tutsa, sertifikatga aynan o‘sha manzil uchun iPAddress yozuvi kerak.

Sertifikat noto‘g‘ri bo‘lsa, operatoran aniq kutilgan identifikator bilan tuzatilganini so‘rang. Profil noto‘g‘ri bo‘lsa, profilni tuzating va sertifikatni tinch qo‘ying. Identifikatsiya tekshiruvini o‘chirish xatoni yo‘q qiladi va tunnel siz mo‘ljallagan hamkor bilan gaplashayotgani tekshiruvini ham olib tashlaydi.

Har bir mijoz platformasi uchun kutilgan identifikatsiyani hujjatlashtiring, chunki bir mijoz avtomatik oladigan qiymat boshqasida aniq ko‘rsatilishi talab qilinishi mumkin.

Yangilash so‘roviga to‘rt fakt bering

Kutilgan identifikator va uning turini, joriy sertifikatda haqiqatda mavjud SAN yozuvlarini, tekshiruvni amalga oshiradigan mijoz va versiyani hamda xatoning aniq matnini yozib qo‘ying. Ushbu to‘rt satrdan tuzilgan yangilash so‘rovi birinchi marta to‘g‘ri sertifikat oladi, xuddi shu tanish fayl nomli boshqasini emas.