+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Поведение идентификации IKEv2 IPSec

Поведение идентификации IKEv2 IPSec, RouterOS

jose21

Guest

03.04.2023 00:35:00

Привет, я пытаюсь настроить IKEv2 VPN с использованием сертификата машины и хотел бы понять, как RouterOS аутентифицирует пир. В частности, меня интересует, как RouterOS определяет пир в соответствии с настройками Identities.

Как RouterOS идентифицирует пир, если identity настроен так: remote-cert = none, my-id = auto, remote-id = auto, и match-by = remote-id?
Как RouterOS идентифицирует пир, если identity настроен так: remote-cert = A_CLIENT_CERT, my-id = auto, remote-id = auto, и match-by = certificate?
Как RouterOS идентифицирует пир, если identity настроен так: remote-cert = A_CLIENT_CERT, my-id = auto, remote-id = fqdn:CLIENT_FQDN, и match-by = certificate?

Моё предположение такое: RouterOS в любом случае проверяет валидность сертификата, предоставленного удалённым пиром.

Для 1) любой пир с валидным сертификатом проходит аутентификацию.
Для 2) любой пир с валидным сертификатом, в котором remote-id представлен либо common-name, либо subject-alt-name, проходит аутентификацию.
Для 3) любой пир с валидным сертификатом, где remote-id представлен либо common-name, либо subject-alt-name, и при этом совпадает с указанным remote-id, проходит аутентификацию.

Буду признателен за любые комментарии!

jose21 Guest	#2 0 19.05.2023 12:00:00 У кого-нибудь есть какие-то подсказки?

ns88ns

Guest

19.05.2023 19:37:00

Какая версия ROS? Похоже, что функционал сломался в ROS 7.9 (скорее всего). По крайней мере, IPsec с аутентификацией на основе сертификатов в 7.9 работает не так, как ожидалось, из-за «*) ipsec - переработка реализации X.509;». Пока нет ни подтверждений, ни опровержений от разработчиков. Похожая проблема. Быстрое обновление: пожалуйста, проигнорируйте это сообщение, оно не по теме. Ай… больше не могу удалить свои посты, сервер возвращает HTTP ERROR 500. Два админа форума: не могли бы вы, пожалуйста, посмотреть? Заранее спасибо.

Kentzo

Guest

19.05.2023 21:22:00

Такой таблицы в документации Mikrotik нет, а RFC по IKEv2 никаких требований не навязывает. Советую включить логирование по теме «ipsec», возможно, там найдется что-то полезное. В остальном — только методом проб и ошибок. Пожалуйста, отправьте им предложение по улучшению документации.

jose21

Guest

20.05.2023 04:47:00

Я использую версию 7.8. Честно говоря, не совсем понимаю, чем именно отличаются match-by = remote-id и match-by = certificate. По документу: match-by (remote-id | certificate; по умолчанию: remote-id) определяет логику проверки идентичности пира. remote-id — проверяет ID пира в соответствии с настройкой remote-id. certificate — проверяет сертификат пира согласно настройке remote-certificate. Значит, если match-by = remote-id, то сертификат, предоставленный пиром, игнорируется, а если match-by = certificate, то игнорируется remote-id? Или даже при match-by = remote-id проверяется валидность сертификата?

Kentzo Guest	#6 0 20.05.2023 05:53:00 Итак, получается, что match-by=remote-id игнорирует сертификат, выданный удалённой стороной, а match-by=certificate игнорирует remote-id? Или даже если стоит match-by=remote-id, сертификат всё равно проверяется на валидность? Возможно, всё выглядит так: - match-by=remote-id remote-id=!ignore — совпадение по идентификации и проверка соответствующего поля в сертификате - match-by=remote-id remote-id=ignore — совпадает с любым пировым участником - match-by=certificate remote-id=… — совпадение по содержимому сертификата, но игнорируется идентификация Чтобы было понятно, совпадение — это отдельный этап от аутентификации, то есть сертификат (или ключ, секрет, учётные данные) всё равно должен пройти проверку подлинности.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры