iPhone IKEv2 dan RouterOS ga: qaysi identifikator qayerga tushadi
iOS da IKEv2 tunnelini to'rtta alohida da'vo belgilaydi: teriladigan manzil, kutilayotgan server identifikatori, e'lon qilingan klient identifikatori va sertifikat materiali.
MikroTik shlyuziga yetib borish IKEv2 joylashtirishining faqat transport yarmini hal qiladi, boshqa hech narsani. Keyin to'rtta alohida da'vo tunnel shakllanishini belgilaydi: telefon teradigan manzil, kutayotgan server identifikatori, o'zi uchun e'lon qilgan identifikator va bu da'voni qo'llab-quvvatlovchi sertifikat materiali. Ularni shu tartibda tekshiring va shlyuz taqdim etganiga mos kelmaydigan birinchisida to'xtang. Har biri boshqa joyda tahrirlanadi, shuning uchun noto'g'ri tahrir odatda nosozlikni tuzatish o'rniga ko'chiradi.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Profil maydonlarini almashinuv ularni ishlatadigan tartibda tekshiring
Uzoq manzil birinchi IKE paketining manzili va boshqa hech narsa emas. Uzoq identifikator — telefon shlyuzning o'zi ekanini isbotlashini kutadigan narsa, va bu nom, marshrut emas. Ikkalasini bir xil xost nomi bilan to'ldirish shlyuz sertifikatida shu nom bo'lsa ishlaydi, bo'lmasa marshrutlash muammosiga o'xshab ko'rinadigan tarzda muvaffaqiyatsiz bo'ladi. Profilni to'ldiriladigan maydonlar ro'yxati emas, da'volar ketma-ketligi sifatida o'qing.
Mahalliy identifikator telefonning o'z da'vosi bo'lib, telefon taqdim etadigan klient sertifikati uchun RouterOS identifikatsiya yozuvi qabul qiladigan nom bo'lishi kerak. Ikkalasi mos kelmasa, shlyuz sertifikatning o'zi tasdiqlangandan keyin ulanishni rad etadi, jurnal esa nomlash emas, avtorizatsiya muammosiga o'xshaydi.
Identifikatorlarni shlyuz taqdim etadigan narsa bilan solishtirib tekshiring
Sertifikat autentifikatsiyasi uchun sozlangan RouterOS hamkor yozuvi o'z sertifikatini taqdim etadi va boshqacha sozlamagan bo'lsangiz, uning identifikatori shu sertifikatdan olinadi. Agar telefonning uzoq identifikatori shlyuzning DNS nomini aytsa, shlyuz sertifikatiga bu nom telefon qabul qiladigan joyda, odatda subyektning alternativ nomida kerak bo'ladi. Boshqa umumiy nom uchun berilgan sertifikat kalit va zanjir benuqson bo'lsa ham tasdiqlanmaydi.
Boshqariladigan Apple profillari identifikator maydonlaridan tashqari baholanadigan sertifikat nomi cheklovini ham olib yurishi mumkin. Sozlamalar ekrani ko'rsatganidan tasdiqlash nomini taxmin qilish o'rniga yuklamani tekshiring, chunki ikkalasi bir xil sozlama emas.
Klient sertifikati kalit ekanini, shunchaki ishonch tayanchi emasligini tekshiring
CA sertifikatini import qilish telefonga shlyuzni tasdiqlash uchun narsa beradi. Bu telefonga klient identifikatorini bermaydi, sertifikat autentifikatsiyasi esa klient varaq sertifikati va uning shaxsiy kalitini tasdiqlangan ro'yxatdan o'tish yo'li orqali birga yetkazishni talab qiladi. Shaxsiy kalitsiz qurilgan PKCS#12 toza o'rnatiladigan va hech narsani autentifikatsiya qilmaydigan profil beradi.
Klient varaqiga RouterOS tomoni kutadigan identifikator ham kerak, ya'ni subyekt yoki subyektning alternativ nomi tegishli identifikatsiya konfiguratsiyasiga mos kelishi kerak. Klient va server sertifikatlarini bitta CA dan berish zanjirni qulay qiladi va ikki varaqni o'zaro almashtiriladigan qilmaydi.
RouterOS siyosati shu nomni qabul qilishini tekshiring
Shlyuzda hamkor yozuvi almashinuv rejimi va autentifikatsiya usulini belgilaydi, identifikatsiya yozuvi esa qabul qilingan uzoq identifikatorni sertifikat va undan keyingi siyosat bilan bog'laydi. RouterOS v7 da bu juftlik IPsec hamkor va identifikatsiya yozuvlari orqali ifodalanadi, masalan auth-method=digital-signature li IKEv2 hamkori. O'rnatilgan versiyangizdagi haqiqiy menyu mazmunini tekshiring, eski versiya uchun yozilgan qo'llanmani emas.
Aynan shu yerda nomuvofiqlikni tuzatish eng arzon, chunki shlyuz sizga olingan va istalgan identifikatorni aytib bera oladi. Xatoni jim qilish uchun qabul qilinadigan identifikatorni kengaytirish joylashtirishga ma'no bergan bog'lanishni olib tashlaydi.
Biror narsani tahrirlashdan oldin qaysi bosqich muvaffaqiyatsiz bo'lganini tekshiring
Harakatni ikkala uchda o'qib, taklifni o'zgartirishdan oldin tasniflang. Taklif nomuvofiqligi, yo'qolgan imzo kaliti, ishonchsiz chiqaruvchi, noto'g'ri hamkor identifikatori va rad etilgan klient avtorizatsiyasi telefondan hammasi o'lik tunnelga o'xshaydi va har birining egasi boshqa. Beshta sozlamani birvarakayiga o'zgartirish natijadan hech narsa o'rganmasligingizni kafolatlaydi.
Taqdim etilgan identifikatorni, kutilayotgan identifikatorni, sertifikat chiqaruvchisi va seriya raqamini hamda tegishli siyosat nomini yozib oling, shaxsiy kalitlar va profil sirlarini bu yozuvdan tashqarida saqlang. Autentifikatsiya muvaffaqiyatli bo'lgach, shaxsiy xizmat va uning javobini sinab ko'ring, chunki manzil taqsimoti, selektorlar, DNS va kirish siyosati IKE almashinuvi tugagandan keyin ham ishlashi kerak.