Danh tính IKE hay địa chỉ điểm cuối: đừng nhầm lẫn
Danh tính IKE kiểu FQDN là giá trị xác thực nguyên văn, không phải tra cứu DNS ngược. Giữ riêng địa chỉ điểm cuối, danh tính cục bộ và peer dự kiến.
Hãy đọc trường được dán nhãn danh tính FQDN như một chuỗi nguyên văn, không phải một yêu cầu về tên DNS ngược của địa chỉ công khai của bạn. Trong bộ phân tích của strongSwan, nó đúng là như vậy, một chuỗi, và việc đọc không bao giờ phân giải nó thành một điểm cuối. Chỉ riêng sự thật đó đã loại bỏ điều gây phân tâm phổ biến nhất khi bạn chọn định danh cho một peer. Các kiểm tra dưới đây ngăn ba giá trị liên quan hòa vào một.
Nhãn không phải là tra cứu
Giao diện của nhà cung cấp dùng những từ như FQDN và hostname một cách lỏng lẻo, và nhãn trên hộp không nói gì về cách mã hóa phía sau. Một thiết bị gọi một trường là Client FQDN có thể gửi FQDN, chuỗi dạng email hoặc địa chỉ trần. Hãy coi văn bản và kiểu là hai quyết định riêng biệt và ghi lại cả hai.
Không có gì trong danh tính nguyên văn đòi hỏi DNS. Đó là một tuyên bố mà phía kia kiểm tra, không phải một cái tên mà mạng phải phân giải.
Ba giá trị riêng, viết riêng
Ba công việc nằm sau một màn hình cấu hình, và gộp chúng lại là sai lầm đắt giá. Một giá trị là địa chỉ điểm cuối, thứ quyết định gói tin đi đâu. Một giá trị khác là danh tính cục bộ mà peer này trình bày, và giá trị thứ ba là danh tính bạn mong đợi từ phía xa trước khi xác thực nó. Hãy viết chúng thành ba dòng trong phiếu thay đổi, vì bất cứ điều gì ít hơn đều mô tả một VPN chứ không phải một mối quan hệ.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Các danh tính mẫu phải được chọn và cấp quyền như một phần của việc triển khai. Chúng là những tuyên bố mà xác thực kiểm tra, không phải thông tin đăng nhập khiến bất kỳ peer nào đáng tin, nên một chuỗi trông hợp lý không cấp quyền gì cả.
Kiểu là một phần của giá trị
tài liệu tham chiếu danh tính strongSwan phân tách FQDN, giá trị dạng email, địa chỉ IP và các cách mã hóa khác, nên cách mã hóa quan trọng ngang với các ký tự. Hai thiết bị có thể chấp nhận cùng một văn bản dưới các kiểu khác nhau mà vẫn từ chối nhau. Một ghi chú ghi lại giá trị mà không có kiểu của nó là nửa cấu hình.
Hãy hỏi nhà cung cấp xem thiết bị thực sự gửi kiểu nào, và xác nhận bằng cách giải mã thay vì nhãn giao diện. Một kiểu đoán được là sự không khớp đang chờ lần thay đổi tiếp theo.
Mỗi bên phải thỏa mãn bên kia
Danh tính cục bộ của mỗi bên phải vượt qua chính sách xác thực của bên kia. Điều đó không giống việc dán một chuỗi vào mọi ô danh tính trên cả hai thiết bị, vốn là lối tắt tạo ra cấu hình mà không ai có thể gỡ lỗi.
Xác thực bằng chứng chỉ thêm các yêu cầu riêng, vì danh tính của chứng chỉ và các điều kiện tin cậy nằm cạnh danh tính IKE bạn đã nhập. Chỉ riêng việc khớp danh tính IKE không cấp quyền cho một peer có chứng chỉ.
DNS quan trọng ở đâu và phiên bản của bạn bắt buộc điều gì
Một hostname của cổng dùng để khám phá thực sự cần DNS hoạt động, và yêu cầu đó thuộc về việc tìm điểm cuối chứ không thuộc về bất kỳ tra cứu ngược nào của một danh tính đã nhập. Hãy giữ hai điều đó riêng trong phiếu, vì lỗi khám phá và sự không khớp danh tính đọc giống nhau trong nhật ký máy khách và được sửa ở những nơi khác nhau.
Hãy đọc bộ phân tích của sản phẩm và phiên bản bạn thực sự chạy trước khi sao chép cú pháp buộc một kiểu, vì các bản phát hành strongSwan cũ hành xử khác và nhà cung cấp khác thêm ràng buộc riêng. Khi so sánh hai đầu, hãy giữ bốn thứ cùng nhau: danh tính mong đợi, danh tính đã trình bày, kiểu và lỗi xác thực. Tập hợp đó biến sự không khớp thành bằng chứng thay vì ý kiến.