strongSwan EAP: IKE identifikatsiyasi va kutilayotgan AAA nomi

strongSwan EAP mijozi ikkita server nomini tekshirishi mumkin. remote.id IKE shlyuzini, local.aaa_id esa EAP serverini qamrab oladi; bular bitta maydon emas.

IKEv2 ustidan EAP autentifikatsiyasi mijozdan bitta ulanishda ikki xil server nomini tekshirishni talab qilishi mumkin. IKE-ni tugatuvchi shlyuz bitta identifikatsiyani taqdim etadi, ichki TLS almashinuvini tugatuvchi EAP orqa qismi esa boshqasini taqdim etishi mumkin. strongSwan-da ular turli konfiguratsiya bloklarida yashaydi, nomni noto‘g‘ri blokka qo‘yish esa sertifikat muammosiga o‘xshab ko‘rinadigan xato keltiradi. Qaysi tekshiruv muvaffaqiyatsiz bo‘lganini o‘qish qaysi blokni tahrirlashni aytadi.

Bitta ulanish, ikkita server identifikatsiyasi

Birinchi identifikatsiya IKE almashinuviga tegishli. Mijoz manzilga qo‘ng‘iroq qiladi va qarshi tomon ma’lum bir identifikatsiyani, odatda shlyuz sertifikatidagi nomni isbotlashini kutadi.

Ikkinchisi EAP-ga tegishli. PEAP yoki TTLS bilan mijoz IKE SA ichida autentifikatsiya serveriga TLS tunnel quradi va o‘sha ichki server o‘z sertifikatini taqdim etadi. Orqa qism alohida xost bo‘lsa, uning nomi shlyuz nomidan farq qiladi. Faqat birinchi nomni tekshiruvchi mijoz ikkinchisi da’vo qilgan hamma narsani qabul qiladi. Ikkala joyda bitta nom bilan sozlangan mijoz esa ikkisi haqiqatan farq qilgan zahoti muvaffaqiyatsizlikka uchraydi.

Ikkala nom ham operator konfiguratsiyasidan keladi, xatoni yo‘qotadigan sertifikatdan emas. Operatordan joylashtirish tafsilotlarini so‘rash ikkita xost nomini taxmin qilishdan tezroq.

Qaysi maydon qaysi qatlamga tegishli

swanctl-da manzil va IKE identifikatsiyasi alohida sozlamalar, EAP identifikatsiyasi esa uchinchisi.

Masofaviy manzil paketlar qayerga ketishini tanlaydi, masofaviy identifikatsiya esa qarshi tomon nimani isbotlashi kerakligini aytadi. EAP kutilmasi local bloki ostida yoziladi, chunki u qarshi tomonning IKE xatti-harakatini emas, shu mijozning EAP almashinuvini tasvirlaydi. Aynan shu joylashuv noto‘g‘ri o‘qiladi. Nom mijoz konfiguratsiyasida turib, server tasvirlaydi, shuning uchun u noto‘g‘ri joyda ko‘rinadi.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Bu parcha to‘liq ulanish emas; ishonch materiali, hisob ma’lumotlari va bola ulanishlar siyosati hali ham bo‘lishi kerak. Uni so‘zma-so‘z ishlaydigan faylga ko‘chirish sizga hali kerak bo‘lgan sozlamalarni almashtiradi.

Nega aaa_id local ostida yashaydi

local bloki autentifikatsiya paytida bu tomon nima qilishini, jumladan ishlatadigan usulini va shu usul uchun qarshi tomondan kutgan identifikatsiyasini tasvirlaydi. Unda AAA serveri bir xil mashinada ishlaydi degan hech narsa aytilmagan.

Standart qiymat tuzoqni yanada o‘tkirlashtiradi. Aniq qiymat belgilanmagan bo‘lsa, kutilayotgan AAA identifikatsiyasi masofaviy identifikatsiyaga ergashadi, shuning uchun bitta nomli joylashtirish ishlaydi va farqni yashiradi. Aniq qiymat faqat EAP joylashtirishi haqiqatan boshqa joyda tugaganda muhim. Uni o‘sha sababsiz boshqa nomga qo‘yish operator takrorlay olmaydigan xatoni keltirib chiqaradi. Ikkinchi nom o‘ylab topishdan oldin joylashtirishni o‘qing.

Qiymatni orqa qism sertifikati haqiqatan da’vo qilgan narsaga, nom shaklini ham qo‘shib, bir xil saqlang. Oxiridagi nuqta yoki xostni qamramaydigan joker belgi tekshiruv muvaffaqiyatsiz bo‘lishi uchun yetarli.

Bo‘linishni ifodalay olmaydigan old qismlar

NetworkManager profili swanctl bilan bir xil konfiguratsiya interfeysi emas. Uning orqasidagi plagin torroq identifikatsiya boshqaruvlarini taqdim etadi, qaysilari borligi esa o‘rnatilgan versiyaga bog‘liq.

Bu joylashtirishga haqiqatan ikkita nom kerak bo‘lganda muhim. Server identifikatsiyasi deb belgilangan maydon bir qatlamni sozlashi mumkin, ikkinchisini esa yo‘q, shuning uchun profil to‘g‘ri ko‘rinib, baribir ichki tekshiruvdan o‘tmay qolishi mumkin. Profil bu tartibni ifodalay oladi deb o‘ylashdan oldin o‘rnatilgan plagin nimani qo‘llab-quvvatlashini tekshiring. Agar qo‘llab-quvvatlamasa, tanlov operatorniki: boshqa ta’minlash yo‘li yoki tuzatilgan server identifikatsiyasi dizayni. PEAP-ni zaiflashtirish yoki har qanday nomni qabul qilish autentifikatsiya siyosatini tuzatish o‘rniga o‘zgartiradi.

Muqobil mijozda o‘ylab topiladigan narsa emas. Qo‘llab-quvvatlanadigan tartibni yozma ravishda so‘rang, so‘ng o‘sha javobni profil bilan birga saqlang.

Identifikatsiya nomuvofiqligini muddati o‘tgan sertifikatdan ajrating

Nom nomuvofiqligi va muddati o‘tgan sertifikat turli xatolar, jurnal ularni ajratadi. Qaysi maydonni o‘zgartirishni hal qilishdan oldin xabarni o‘qing.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Ko‘zlangan AAA identifikatsiyasini belgilash sertifikatni yangilamaydi va uning chiqaruvchisiga ishonch o‘rnatmaydi, sertifikatni yangilash esa noto‘g‘ri kutilgan nomni tuzatmaydi. Yana bir identifikatsiya maydonini tahrirlashdan oldin qaysi tekshiruv muvaffaqiyatsiz bo‘lganini o‘qing. So‘ng konfiguratsiyani qayta yuklang va yuklangan ulanish siz belgilagan qiymatni ko‘rsatishini tasdiqlang, chunki hech qachon yuklanmagan tahrirlangan fayl hech narsani o‘zgartirmaydi. Ikkala nomni va ularning qatlamlarini joylashtirish eslatmalariga yozing.

O'xshash maqolalar