iPhone IKEv2 đến RouterOS: định danh nào đi vào đâu
Bốn tuyên bố riêng quyết định một đường hầm IKEv2 trên iOS: địa chỉ được quay số, danh tính máy chủ mong đợi, danh tính máy khách tự nhận và vật liệu chứng chỉ.
Với tới cổng MikroTik chỉ giải quyết nửa phần vận chuyển của một triển khai IKEv2 và không gì khác. Sau đó, bốn tuyên bố riêng quyết định liệu đường hầm có hình thành: địa chỉ mà điện thoại quay số, danh tính máy chủ mà nó mong đợi, danh tính mà nó tự nhận, và vật liệu chứng chỉ chống đỡ tuyên bố đó. Hãy kiểm tra chúng theo thứ tự đó, và dừng lại ở mục đầu tiên không khớp với những gì cổng trình bày. Mỗi mục được sửa ở một nơi khác nhau, nên một chỉnh sửa sai thường di chuyển lỗi chứ không sửa được nó.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Kiểm tra các trường hồ sơ theo thứ tự mà quá trình trao đổi dùng chúng
Địa chỉ từ xa là đích của gói IKE đầu tiên và không hơn gì thế. Định danh từ xa là điều điện thoại mong cổng chứng minh về chính nó, và đó là một cái tên, không phải một tuyến đường. Điền cả hai bằng cùng một tên máy chủ sẽ hoạt động khi chứng chỉ của cổng mang tên đó, và thất bại theo cách trông như vấn đề định tuyến khi không mang. Hãy đọc hồ sơ như một chuỗi tuyên bố, chứ không phải danh sách các trường cần điền.
Định danh cục bộ là tuyên bố của chính điện thoại, và nó phải là một cái tên mà mục nhận dạng của RouterOS chấp nhận cho chứng chỉ máy khách mà điện thoại trình ra. Nếu hai bên không khớp, cổng từ chối kết nối sau khi bản thân chứng chỉ đã được xác thực, và nhật ký trông như vấn đề phân quyền chứ không phải vấn đề đặt tên.
Kiểm tra các định danh đối chiếu với những gì cổng trình bày
Mục ngang hàng trong RouterOS được cấu hình để xác thực bằng chứng chỉ sẽ trình ra chứng chỉ của chính nó, và danh tính của nó được lấy từ chứng chỉ đó trừ khi bạn đã cấu hình khác. Nếu định danh từ xa của điện thoại nêu tên DNS của cổng, chứng chỉ của cổng cần tên đó ở một nơi mà điện thoại sẽ chấp nhận, thường là tên thay thế của chủ thể. Một chứng chỉ được cấp cho tên chung khác sẽ không xác thực được dù khóa và chuỗi hoàn hảo.
Hồ sơ Apple được quản lý cũng có thể mang một ràng buộc tên chứng chỉ được đánh giá thêm ngoài các trường định danh. Hãy kiểm tra nội dung thay vì suy ra tên xác thực từ những gì màn hình cài đặt hiển thị, vì hai thứ đó không phải cùng một cài đặt.
Kiểm tra rằng chứng chỉ máy khách là một khóa, không chỉ là mỏ neo tin cậy
Nhập một chứng chỉ CA cho điện thoại thứ để xác thực cổng. Nó không cho điện thoại một danh tính máy khách, và xác thực bằng chứng chỉ cần chứng chỉ lá của máy khách cùng khóa riêng của nó được chuyển giao cùng nhau qua đường đăng ký đã được phê duyệt. Một PKCS#12 được dựng mà không có khóa riêng sẽ tạo ra hồ sơ cài đặt sạch sẽ và không xác thực được gì.
Lá máy khách cũng cần một danh tính mà phía RouterOS mong đợi, nghĩa là chủ thể hoặc tên thay thế của chủ thể phải khớp với cấu hình danh tính tương ứng. Cấp chứng chỉ máy khách và máy chủ từ cùng một CA làm chuỗi thuận tiện và không làm hai lá trở nên hoán đổi được cho nhau.
Kiểm tra rằng chính sách của RouterOS chấp nhận tên đó
Trên cổng, mục ngang hàng đặt chế độ trao đổi và phương thức xác thực, còn mục danh tính gắn danh tính từ xa được chấp nhận với một chứng chỉ và với chính sách theo sau. Trong RouterOS v7, cặp đó được biểu đạt qua các mục ngang hàng và danh tính của IPsec, ví dụ một ngang hàng IKEv2 với auth-method=digital-signature. Hãy kiểm tra nội dung menu thực tế trên bản phát hành đã cài, không phải một hướng dẫn viết cho bản cũ hơn.
Đây cũng là nơi sửa sự không khớp rẻ nhất, vì cổng có thể cho bạn biết cả danh tính đã nhận và danh tính mong muốn. Mở rộng danh tính được chấp nhận để dập tắt lỗi sẽ xóa bỏ ràng buộc đã làm cho việc triển khai có ý nghĩa.
Kiểm tra giai đoạn nào đã thất bại trước khi sửa bất cứ thứ gì
Đọc nỗ lực ở cả hai đầu và phân loại nó trước khi thay đổi một đề xuất. Không khớp đề xuất, thiếu khóa ký, nhà phát hành không đáng tin, định danh ngang hàng sai và ủy quyền máy khách bị từ chối đều trông như một đường hầm chết từ phía điện thoại, và mỗi thứ thuộc về một bên khác nhau. Thay đổi cả năm cài đặt cùng lúc bảo đảm bạn sẽ không học được gì từ kết quả.
Ghi lại danh tính được trình ra, danh tính mong đợi, nhà phát hành và số sê-ri của chứng chỉ cùng tên chính sách liên quan, đồng thời giữ khóa riêng và bí mật hồ sơ ngoài bản ghi đó. Khi xác thực thành công, hãy thử một dịch vụ riêng và phản hồi của nó, vì việc cấp địa chỉ, bộ chọn, DNS và chính sách truy cập vẫn phải hoạt động sau khi quá trình trao đổi IKE kết thúc.