IKEv2 server manzili va identifikatsiya: mijoz aslida nimani tekshiradi
Manzilda qaerga qo'ng'iroq qilish kerakligi ko'rsatilgan; shaxs qaysi tengdoshni qabul qilishni aytadi. Ularni aralashtirish ko'chirilgan shlyuz yoki yangi sertifikat nima uchun buziladi IKEv2.
Manzilni o'zgartiruvchi shlyuz ishlashni davom ettirishi mumkin, shu bilan birga yangi sertifikat ortidagi bir xil shlyuz to'xtaydi va buning aksi ham sodir bo'ladi. Manzil mijozga paketlarni qaerga yuborish kerakligini aytadi; autentifikatsiya qilingan identifikator mijozga javob berayotgan odam ishonishi kerakmi yoki yo'qligini aytadi. IKEv2 ularni ikkita alohida maydon sifatida saqlaydi, bu ularni bitta satr sifatida ko'rib chiqishni to'xtatgandan keyin foydali bo'ladi. Ular, shuningdek, turli joylarda tuzilgan, shuning uchun biri to'g'ri, ikkinchisi noto'g'ri bo'lishi mumkin.
Ularni shu tartibda tekshiring va birinchi nomuvofiqlikda to'xtating, chunki keyingi tekshiruvlar oldingilari o'tgan deb taxmin qilinadi.
Birinchidan, qaysi qiymat manzil
Ulanish manzili mijoz tergan narsadan qat'iy nazar: IP, bittaga mos keladigan DNS nomi yoki yukni muvozanatlashgan old tomon. Bu transport ma'lumotlari va boshqa hech narsa emas. Identifikatsiya IKEv2 identifikatorining foydali yukida ishlaydi va keyin tengdosh sertifikatiga mos keladi. Manzil oynasidagi DNS nomi kutilgan identifikatsiyaga aylanmaydi va xom IP rozetka unga ulanganligi sababli identifikatsiyaga aylanmaydi.
strongSwan shartlarida manzil right yoki left va kutilgan identifikatsiya rightid yoki leftid va IKEv2 konfiguratsiya hujjatlari shunday tasvirlangan. Agar siz faqat manzilni tahrir qilgan bo'lsangiz, siz juftlikning yarmini sozlagansiz.
Ikkinchidan, sertifikat nimani isbotlashi mumkin
Shaxsning turi bor va sertifikat mos keladigan nomga ega bo'lishi kerak. DNS identifikatori mavzuning muqobil nomi kengaytmasidagi dNSName yozuvi bilan qondiriladi; IP identifikatoriga iPAddress yozuvi kerak. vpn.example.com uchun berilgan sertifikat 203.0.113.10 to'g'ridan-to'g'ri manzili haqida hech narsani tasdiqlamaydi va bu manzil uchun berilgan sertifikat ism haqida hech narsani tasdiqlamaydi. Shu sababli, boshqa nom uchun qayta chiqarish, hatto bir xil kalit va CA qayta ishlatilsa ham, kirishni almashtirish emas.
Zamonaviy mijozlar mavzuning muqobil nomi mavjud bo'lganda umumiy nomga e'tibor bermaydilar va ko'pchilik uni butunlay e'tiborsiz qoldiradi. Agar SAN roʻyxati mijoz tekshiradigan qiymatni oʻz ichiga olmasa, sertifikat allaqachon ishonchli deb qabul qilinganidan keyin qoʻl siqish muvaffaqiyatsiz tugadi, shuning uchun jurnal ishonch xatosi emas, balki identifikatsiya xatosi kabi oʻqiydi.
Uchinchidan, har bir mijoz kutganini qanday bildiradi
Windows siz kiritgan server nomi yoki manzilini oladi va sertifikat unga mos kelishini talab qiladi, shuning uchun IPni kiritish IP kutilishini yaratadi. Android ning IKEv2 mijozi xuddi shunday yo‘l tutadi va ikkalasi ham boshqa xost nomini beruvchi yaroqli, hamma uchun ishonchli sertifikatni rad etadi. Profil faqatgina migratsiya paytida host nomini uning manziliga almashtirganligi sababli ishlamay qolishi mumkin. Sertifikatda nima borligini ko'rishdan oldin mijoz nimani so'raganiga qarang.
strongSwan da kutish aniq: rightid ni server haqiqatdan taqdim etgan identifikatorga o'rnating, bu o'ngdan farq qilishi mumkin. Uni %any ga sozlasangiz, tengdoshlar taklif qilgan barcha narsalarni qabul qiladi va siz saqlamoqchi bo'lgan chekni olib tashlaydi.
To'rtinchidan, foydalanuvchi loginini tengdosh identifikatoridan ajrating
EAP autentifikatsiya va server identifikatori turli savollarga javob beradi. [email protected] kabi EAP identifikatori mijoz server to'g'ri ekanligiga qaror qilgandan so'ng, foydalanuvchi kimligini aytadi. Ushbu parolni aylantirish tengdosh identifikatori nomuvofiqligini tuzata olmaydi, chunki ulanish hech qachon foydalanuvchi kirish bosqichiga etib bormaydi.
Sanitarizatsiya qilingan hisobotda ikkalasi ham nomlanishi kerak: mijoz kutgan identifikator, server taqdim etgan identifikator va sertifikat SAN yozuvlari.
Beshinchidan, uni tasdiqlangan kanal orqali o'zgartiring
Shlyuz qonuniy ravishda harakatlansa, avval manzilni yangilang va identifikatorni yolg'iz qoldiring, chunki bu IKEv2 yaxshi ishlaydi. Identifikatsiyaning o'zi o'zgarganda, uni ishonch hodisasi sifatida ko'rib chiqing va yangi qiymatni hozirda muvaffaqiyatsiz bo'lgan so'nggi nuqtadan emas, balki allaqachon ishongan manbadan oling. Siz tasdiqlamoqchi bo'lgan ulanish orqali yuborilgan xabar bu ulanishga dalil emas.
Yakuniy manzil, identifikatsiya va SAN roʻyxatini profil qaydlarida birga yozib oling. Sertifikatga tegadigan navbatdagi odam uchtadan qaysi biri harakatlanishiga ruxsat berilganligini ko'radi.