IKEv2 địa chỉ máy chủ so với danh tính: những gì khách hàng thực sự kiểm tra

Một cổng thay đổi địa chỉ có thể tiếp tục hoạt động trong khi cổng tương tự đằng sau chứng chỉ mới dừng lại và điều ngược lại cũng xảy ra. Địa chỉ cho khách hàng biết nơi gửi gói; danh tính được xác thực sẽ cho khách hàng biết liệu câu trả lời ngang hàng có phải là câu trả lời đáng tin cậy hay không. IKEv2 giữ chúng dưới dạng hai trường riêng biệt, điều này rất hữu ích khi bạn ngừng coi chúng là một chuỗi. Chúng cũng được cấu hình ở những nơi khác nhau, vì vậy cái này có thể đúng trong khi cái kia sai.

Kiểm tra chúng theo thứ tự này và dừng lại ở lần kiểm tra không khớp đầu tiên, vì các lần kiểm tra sau coi như các lần kiểm tra trước đã đạt.

Đầu tiên, giá trị nào là địa chỉ

Địa chỉ kết nối là bất kỳ địa chỉ nào mà khách hàng quay số: IP, tên DNS được phân giải thành một hoặc giao diện người dùng cân bằng tải. Đó là thông tin vận chuyển và không có gì hơn. Danh tính nằm trong tải trọng ID IKEv2 và sau đó được khớp với chứng chỉ của thiết bị ngang hàng. Tên DNS trong hộp địa chỉ không trở thành danh tính mong đợi và IP thô không trở thành danh tính chỉ vì ổ cắm được kết nối với nó.

Trong thuật ngữ strongSwan, địa chỉ là right hoặc left và danh tính dự kiến là rightid hoặc leftid và đó là nội dung mà tài liệu cấu hình IKEv2 mô tả. Nếu bạn chỉ chỉnh sửa địa chỉ, bạn đã định cấu hình một nửa cặp địa chỉ.

Thứ hai, chứng chỉ có thể chứng minh điều gì

Danh tính có một loại và chứng chỉ phải mang tên phù hợp. Danh tính DNS được thỏa mãn bởi mục nhập dNSName trong phần mở rộng tên thay thế chủ đề; danh tính IP cần có mục nhập iPAddress. Chứng chỉ được cấp cho vpn.example.com không chứng minh được gì về địa chỉ thực 203.0.113.10, và chứng chỉ được cấp cho địa chỉ đó không chứng minh được gì về tên. Do đó, việc phát hành lại một tên khác không phải là một sự thay thế tự động, ngay cả khi cùng một khóa và CA được sử dụng lại.

Các khách hàng hiện đại bỏ qua tên chung khi tồn tại một tên thay thế chủ đề và nhiều người bỏ qua nó hoàn toàn. Nếu danh sách SAN không chứa giá trị mà khách hàng kiểm tra thì việc bắt tay không thành công sau khi chứng chỉ đã được chấp nhận là đáng tin cậy, đó là lý do tại sao nhật ký đọc giống như lỗi nhận dạng hơn là lỗi tin cậy.

Thứ ba, cách mỗi khách hàng bày tỏ kỳ vọng

Windows lấy tên hoặc địa chỉ máy chủ bạn đã nhập và yêu cầu chứng chỉ khớp với tên đó, vì vậy việc nhập IP sẽ tạo ra kỳ vọng về IP. Máy khách IKEv2 của Android hoạt động theo cùng một cách và cả hai đều từ chối chứng chỉ hợp lệ, được tin cậy công khai đặt tên cho một Máy chủ khác. Một cấu hình có thể bắt đầu bị lỗi chỉ vì ai đó đã thay thế tên máy chủ bằng địa chỉ của nó trong quá trình di chuyển. Hãy xem những gì khách hàng yêu cầu trước khi bạn xem chứng chỉ chứa đựng những gì.

Trên strongSwan kỳ vọng rất rõ ràng: đặt rightid thành danh tính mà máy chủ thực sự trình bày, điều này có thể khác với quyền. Đặt nó thành %any chấp nhận bất cứ điều gì ngang hàng đưa ra và xóa chính xác séc bạn đang cố giữ.

Thứ tư, tách biệt thông tin đăng nhập của người dùng khỏi danh tính ngang hàng

EAP xác thực và nhận dạng máy chủ trả lời các câu hỏi khác nhau. Danh tính EAP chẳng hạn như [email protected] cho biết người dùng là ai, sau khi khách hàng quyết định rằng máy chủ là máy chủ phù hợp. Việc xoay mật khẩu đó không thể khắc phục được lỗi nhận dạng ngang hàng không khớp vì kết nối không bao giờ đạt đến giai đoạn đăng nhập của người dùng.

Một báo cáo đã được làm sạch phải đặt tên cho cả hai: danh tính mà khách hàng mong đợi, danh tính mà máy chủ đưa ra và các mục nhập SAN của chứng chỉ.

Thứ năm, thay đổi nó thông qua một kênh đã được xác minh

Khi cổng di chuyển hợp pháp, hãy cập nhật địa chỉ trước và để lại danh tính, vì đó là trường hợp IKEv2 xử lý tốt. Khi danh tính thay đổi, hãy coi đó là một sự kiện tin cậy và nhận giá trị mới từ nguồn mà bạn đã tin cậy chứ không phải từ điểm cuối hiện đang bị lỗi. Tin nhắn được gửi qua kết nối mà bạn đang cố gắng xác thực không phải là bằng chứng về kết nối đó.

Ghi lại địa chỉ cuối cùng, danh tính và danh sách SAN cùng nhau trong ghi chú hồ sơ. Người tiếp theo chạm vào chứng chỉ sẽ xem ai trong ba người được phép di chuyển.