Bí ìjẹ́rìí àpapọ̀ IKEv1 ṣe ń yí padà sí ìjẹ́rìí olùṣàmúlò IKEv2
Ipò àpapọ̀ yà ẹ̀rí ẹnubode kúrò lẹ́gbẹ̀ẹ́ ẹ̀rí olùṣàmúlò. Gbígbé lọ sí IKEv2 pa ìyàsọ́tọ̀ náà mọ́ ṣùgbọ́n ó yí ìpààrọ̀ padà, ọ̀nà EAP àti àwọn àyẹ̀wò ìwé-ẹ̀rí.
Gbogbo profáìlì VPN àtijọ́ tí ó béèrè fún ìwé-ẹ̀rí sáfà, tí ó sì tún béèrè orúkọ olùṣàmúlò, gbé ìṣẹ̀lẹ̀ ìjẹ́rìí méjì nínú ìpààrọ̀ kan, àti pé ìrísí yẹn ń gbé pẹ́ ju protokọ́ọ̀lì tí ó mú un wá lọ. Ipò àpapọ̀ IKEv1 ni a kọ́ fún ìdí yìí gan-an: ẹnubode fi kọ́kọ́rọ́ gbogbogbò ṣe ẹ̀rí ara rẹ̀ nígbà tí olùṣàmúlò fi XAuth ṣe ẹ̀rí ara rẹ̀ ní ìgbà tí ó tọ́. IKEv2 fi ọ̀nà mìíràn hàn ní èròǹgbà ìgbésẹ̀ méjì kan náà, àti pé àwọn ìyàtọ̀ yẹn ni àwọn ìṣíkiri ti ń kùnà. Kò sí nọ́mbà ẹ̀dà tí ó yí ọ̀kan padà sí èkejì, àti pé dídá àwọn orúkọ àṣàyàn àtijọ́ kọ́ sínú profáìlì tuntun ń mú kíláìẹ̀ntì kan jáde tí ó ń ṣe ìdúnàádúrà tí kò sì jẹ́rìí ohunkóhun.
Ohun tí ipò àpapọ̀ ṣe nínú IKEv1
Nínú profáìlì àpapọ̀, ẹgbẹ́ tí ó ń dáhùn fi ìwé-ẹ̀rí rẹ̀ fọwọ́ sí ìpààrọ̀ ìpele kìíní nígbà tí olùpilẹ̀ṣẹ̀ kò fi ìwé-ẹ̀rí kankan hàn mọ́ ọ̀nà. Nítorí náà ẹ̀rí ìdánimọ̀ kò dọ́gba, àti pé ìyẹn ni ó jẹ́ kí ẹnubode lè pa PKI tí ó wà mọ́ nígbà tí àwọn olùṣàmúlò pa àwọn ọ̀rọ̀ ìpamọ́ wọn mọ́. Nígbà tí ìpele kìíní parí, XAuth ń ṣiṣẹ́ gẹ́gẹ́ bí ìbéèrè àti ìdáhùn tí ó ń gbé àwọn ànímọ́ orúkọ olùṣàmúlò àti ọ̀rọ̀ ìpamọ́ nínú ikanni ISAKMP tí a ti ṣe àsekópa rẹ̀.
Kíyèsí ibi tí ìgbẹ́kẹ̀lé ń balẹ̀ sí. Ìwé-ẹ̀rí dáhùn ibi tí kíláìẹ̀ntì dé; XAuth dáhùn ẹni tí olùṣàmúlò ń fẹ́ àwọlé. Kò sí èyí tí ó rọ́pò èkejì, àti pé kíláìẹ̀ntì tí a ṣètò láti gba ìwé-ẹ̀rí sáfà èyíkéyìí ti fi ìdáhùn kìíní sọnù ní ìdákẹ́jẹ́ẹ́. Àmì àpapọ̀ tún wà fún ipò ìkọlù pẹ̀lú kọ́kọ́rọ́ tí a pín ṣáájú pẹ̀lú XAuth, ìṣètò mìíràn pẹ̀lú ìrírí olùṣàmúlò kan náà, nítorí náà ka profáìlì dípò orúkọ. Àwọn ẹ̀yà méjèèjì wá láti inú àwọn àkọsílẹ̀ tí kò di ìlànà rí, àti pé ìdí niyẹn tí olùpèsè méjì fi lè ṣe ipò àpapọ̀ tí wọn kò sì lè ṣiṣẹ́ pọ̀ pẹ̀lú ẹnikẹ́ni.
Bí IKEv2 ṣe dé àwọn ẹ̀rí méjì kan náà
IKEv2 pín iṣẹ́ sáàárín IKE_SA_INIT àti IKE_AUTH. Ìpààrọ̀ kìíní gbà àwọn àbá àti kọ́kọ́rọ́ láìsí ìdánimọ̀ kankan; èkejì gbé IDi, IDr àti àwọn ẹrù AUTH. Lábẹ́ EAP, ẹrù AUTH kìíní ti olùpilẹ̀ṣẹ̀ jáde ní òfo, ẹni tí ń dáhùn kọ́kọ́ jẹ́rìí ara rẹ̀ pẹ̀lú ìwé-ẹ̀rí àti ìbuwọ́lù rẹ̀, lẹ́yìn náà ìjíròrò EAP ń lọ nínú àwọn ìfiránṣẹ́ IKE_AUTH.
Ẹ̀rọ tí ó mú èyí ní ààbò ni ohun-èlò kọ́kọ́rọ́. Ọ̀nà EAP tí ó ṣàṣeyọrí ń kó kọ́kọ́rọ́ àkókò jáde, àti pé ẹrù AUTH ìkẹyìn ti olùpilẹ̀ṣẹ̀ ni a ń ṣírò láti inú rẹ̀, nítorí náà ẹ̀rí olùṣàmúlò àti àwọn kọ́kọ́rọ́ ọ̀nà ẹ̀rọ ni a so pọ̀. XAuth kò ní irú rẹ̀: àwọn ànímọ́ rẹ̀ ń dé lẹ́yìn ìpele kìíní, wọn kò sì fi ohunkóhun kún àwọn kọ́kọ́rọ́. Àárín yẹn gan-an ni a ṣe ètò IKEv2 láti kún, àti pé ìdí niyẹn tí ìwọlé IKEv2 tí ń ṣiṣẹ́ fi ń ṣàyẹ̀wò ìwé-ẹ̀rí sáfà kí ó tó béèrè ohunkóhun.
Ìtẹ̀lé yìí tún jẹ́ àyẹ̀wò àrùn tí ó wúlò. Nígbà tí kíláìẹ̀ntì ń ṣàròyé nípa àwọn ẹ̀rí ìwọlé kí ó tó fi ìwé-ẹ̀rí hàn ọ́, kò ń ṣe ìpààrọ̀ EAP IKEv2 rárá.
Pa ìdánimọ̀ mẹ́ta mọ́ ọ̀tọ̀ọ̀tọ̀
Ìṣíkiri ń bàjẹ́ nígbà tí ìdánimọ̀ mẹ́ta wó lulẹ̀ sínú pápá kan. Ìdánimọ̀ ẹnubode wà tí kíláìẹ̀ntì ń ṣàyẹ̀wò, ní ọ̀pọ̀ ìgbà orúkọ DNS nínú subject tàbí SAN ìwé-ẹ̀rí. Ìdánimọ̀ olùṣàmúlò wà tí a gbé kalẹ̀ nínú EAP, bóyá ìwọlé agbègbè, àdírẹ́sì tàbí okùn ìdánimọ̀ EAP tí ó ṣe kedere. Àti pé orísun àṣẹ wà tí ó ń so olùṣàmúlò yẹn pọ̀ mọ́ àwọn nẹ́tíwọ́kì àti àwọn ipa.
Síńtáàsì swanctl ti strongSwan mú ìpínyà hàn: ìsopọ̀ ń ṣètò remote { auth = pubkey } fún ẹnubode àti local { auth = eap-mschapv2 } fún olùṣàmúlò, pẹ̀lú ìdánimọ̀ EAP tí a gbé lọ́tọ̀.
Nígbà tí ìdánimọ̀ olùṣàmúlò nínú profáìlì tuntun yàtọ̀ sí àwọn ànímọ́ XAuth àtijọ́, bí àpẹẹrẹ UPN dípò orúkọ kúkúrú, sáfà ìjẹ́rìí rí olùṣàmúlò tí kò mọ̀, àti pé àìṣeéṣe náà dàbí ọ̀rọ̀ ìpamọ́ tí kò tọ́. Ṣàyẹ̀wò okùn ìdánimọ̀ kí ó tó ṣàyẹ̀wò àwọn ẹ̀rí ìwọlé.
Ṣe àwòrán àwọn àṣàyàn kí o sì retí àwọn ìdẹkùn
Àwòrán náà kúkúrú àti gbogbo ìlà ní ìdẹkùn tí ó ń farahàn nígbà ìjẹ́rìí nìkan.
| Legacy hybrid element | IKEv2 equivalent | Where it bites |
|---|---|---|
| Gateway certificate, no client certificate | Responder authenticated with pubkey, initiator with EAP | The server needs an EAP method configured, not just a certificate |
| XAuth username and password | EAP-MSCHAPv2 or an inner method | Password policy and account format differ from the old directory field |
| XAuth attribute replies | IKEv2 configuration payload | Attribute numbering is unrelated; nothing is renamed |
| Proxy IDs from quick mode | TS_i and TS_r in IKE_AUTH | Narrowing on the responder can leave an IKE SA with no child SA |
Kò sí ìlà kan nínú àwọn yẹn tí ó jẹ́ ìyí orúkọ lásán. Ẹrù ìṣètò ń fi àwọn àdírẹ́sì àti olùyọjáde ránṣẹ́ nípasẹ̀ àkọsílẹ̀ ànímọ́ onílà, nígbà tí pápá ànímọ́ XAuth jẹ́ ìdá rẹ̀ tirẹ̀; gbígbà wọ́n bí ohun tí a lè pààrọ̀ ni ọ̀nà tí profáìlì fi ń béèrè ètò tí ẹnubode kò ní fi ránṣẹ́ rí.
Àwọn olùyàn ìrìnàjò yẹ fún ìkìlọ̀ tirẹ̀. IKEv1 fi ìrìnàjò tí ó nífẹ̀ẹ́ hàn nípasẹ̀ àwọn ID proxy tí a so mọ́ ìpààrọ̀ quick mode, nígbà tí IKEv2 ń ṣe ìdúnàádúrà àwọn olùyàn nígbà IKE_AUTH àti pé ẹni tí ń dáhùn lè dín wọn kù. Àìbáramu ń mú IKE SA tí a ti gbé kalẹ̀ jáde láìsí child SA, tí àwọn kíláìẹ̀ntì kan ń fi inú dídùn hàn bí èyí tí ó so.
Wo ìsopọ̀ àtijọ́ bí ààlà
RFC 9395 polongo IKEv1 sí igba atijọ, nítorí náà ìsopọ̀ àpapọ̀ àtijọ́ jẹ́ ààlà ìbámu tí ó ní déètì, kì í ṣe ìpìlẹ̀. Ṣe àwọn profáìlì méjèèjì lẹ́sẹẹsẹ nígbà ìyípadà, nítorí ìdánwò tí ó ṣe pàtàkì kì í ṣe bóyá profáìlì tuntun gòkè, bí kò ṣe bóyá olùṣàmúlò kan náà lórí ẹ̀rọ kan náà dé àwọn orísun kan náà.
Pa ìmúdájú ìwé-ẹ̀rí mọ́ tí ó le dé ìparí. Ní kété tí kíláìẹ̀ntì bá dáwọ́ fífi ìwé-ẹ̀rí rẹ̀ hàn, ìdánwò wà láti tú ìwádìí sáfà lọ́wọ́ títí ìfọwọ́sowọ́pọ̀ yóò fi parí, àti pé ìyẹn ń pààrọ̀ ẹ̀rí kan ṣoṣo tí ó kù fún àmì aláwọ̀ ewé.
Kọ ohun mẹ́rin kí o tó fẹ̀yìntì profáìlì àtijọ́: ọ̀nà EAP, okùn ìdánimọ̀, orísun àṣẹ àti déètì tí ìtìlẹ́yìn parí.