/ip/ipsec/identity
identity
身份是特定于远程对等体的配置参数。身份的主要目的是处理身份验证并验证对等体的完整性。
ip/ipsec/identity
Type: Directory
身份是特定于远程对等体的配置参数。身份的主要目的是处理身份验证并验证对等体的完整性。
| 标志 | 名称 | 描述 |
|---|---|---|
D | dynamic | 该项是否为动态创建。 |
X | disabled | 项目是否已禁用。 |
| 参数 | 类型 | 描述 |
|---|---|---|
peer * | enum | 对等点名称。 |
auth-method | enum (pre-shared-key | digital-signature | eap | eap-radius | pre-shared-key-xauth | rsa-key | rsa-signature-hybrid) | 身份验证方法： - digital-signature - 使用一对 RSA 证书进行身份验证； - eap - 用于发起方（掩码为 /32 的对等体）的 IKEv2 EAP 身份验证。必须与 eap-methods 一起使用； - eap-radius - 用于响应方的 IKEv2 EAP RADIUS 直通身份验证（RFC 3579）。此情况下需要服务器证书。如果未指定服务器证书，则只有支持仅 EAP（RFC 5998）的客户端才能连接。请注意 EAP 方法应与仅 EAP 兼容； - pre-shared-key - 使用对等体之间共享的密码（预共享密钥）字符串进行身份验证（不建议使用，因为可能对预共享密钥进行离线攻击）； - rsa-key - 使用在 keys 菜单中导入的 RSA 密钥进行身份验证。仅支持 IKEv1； - pre-shared-key-xauth - 使用对等体之间共享的密码（预共享密钥）字符串加 XAuth 用户名和密码进行身份验证。仅支持 IKEv1； - rsa-signature-hybrid - 使用发起方 XAuth 的响应方证书身份验证。仅支持 IKEv1。 |
eap-methods | multi { array-id, method: enum (eap-tls | eap-ttls | eap-peap | eap-mschapv2) } | 所有 EAP 方法都要求 System/Certificates 菜单中存在完整证书链，包括中间 CA 和根 CA 证书。此外，必须指定用户名和密码（如果身份验证服务器要求）。可以指定多个 EAP 方法，并按指定顺序使用。 支持的 EAP 方法： - eap-mschapv2； - eap-peap - 也称为 PEAPv0/EAP-MSCHAPv2； - eap-tls - 需要在 certificate 参数下指定额外的客户端证书； - eap-ttls。 |
mode-config | enum (none) | mode-config 菜单中配置参数的名称。设置该参数时会启用 mode-config。 |
notrack-chain | string | 将匹配 IPsec 策略的 IP/Firewall/Raw 规则添加到指定链。与 generate-policy 一起使用。 |
my-id | alt { string: composite { type: enum (fqdn | user-fqdn | key-id) , data: string } , address: composite { type: enum (address) , data: alt { ipv6: ip6Addr , ip: ipAddr } } , other: enum (auto | dn) } | 在发起方上，这控制发送给响应方的 ID_i。在响应方上，这控制发送给发起方的 ID_r。在 IKEv2 中，响应方还期望从发起方收到的 ID_r 中包含此 ID。 - auto - 尝试自动使用正确的 ID：预共享密钥使用 IP，基于证书的连接使用 SAN（如果不存在则使用 DN）； - address - 使用 IP 地址作为 ID； - dn - ASN.1 X.500 可分辨名称的二进制可分辨编码规则（DER）编码； - fqdn - 完全限定域名； - key-id - 为身份使用指定的密钥 ID； - user fqdn - 指定完全限定的用户名字符串，例如 "user@domain.com"。 |
remote-id | alt { string: composite { type: enum (fqdn | user-fqdn | key-id) , data: string } , address: composite { type: enum (address) , data: alt { ipv6: ip6Addr , ip: ipAddr } } , auto: enum (auto | ignore | dn) } | 此参数控制期望从远程对等体接收的 ID 值。请注意，除 ignore 外的所有类型都会使用收到的证书验证远程对等体的 ID。如果对等体将证书名称作为其 ID 发送，则将其与证书进行核对；否则将 ID 与 Subject Alt. Name 进行核对。 - auto - 接受所有 ID； - address - 使用 IP 地址作为 ID； - dn - ASN.1 X.500 可分辨名称的二进制可分辨编码规则（DER）编码； - fqdn - 完全限定域名。仅支持 IKEv2； - user fqdn - 完全限定的用户名字符串，例如 "user@domain.com"。仅支持 IKEv2； - key-id - 身份特定的密钥 ID。仅支持 IKEv2； - ignore - 不通过证书验证收到的 ID（危险）。 * 不支持通配符密钥 ID 匹配，例如 remote-id="key-id:CN=*.domain.com" |
match-by | enum (remote-id | certificate) | 定义用于验证对等体身份的逻辑。 - remote-id - 根据 remote-id 设置验证对等体的 ID。 - certificate - 使用 remote-certificate 设置中指定的内容验证对等体的证书。 |
key | enum () | keys 菜单中的私钥名称。适用于使用 RSA 密钥身份验证方法（auth-method=rsa-key）的情况。 |
remote-key | enum () | keys 菜单中的公钥名称。适用于使用 RSA 密钥身份验证方法（auth-method=rsa-key）的情况。 |
secret | string | 机密字符串。如果以 '0x' 开头，则按十六进制值解析。适用于使用预共享密钥身份验证方法（auth-method=pre-shared-key 或 auth-method=pre-shared-key-xauth）的情况。 |
certificate | multi { array-id, certificate: enum } | 本地证书。适用于使用数字签名身份验证方法（auth-method=digital-signature）或 EAP（auth-method=eap）的情况。 |
remote-certificate | enum (none) { none:-1 } | 用于验证远程方的证书（验证数据包；不需要私钥）。如果未指定 remote-certificate，则使用从远程对等体收到的证书，并与证书菜单中的 CA 进行核对。必须在证书存储中导入适当的 CA。如果指定了 remote-certificate 和 match-by=certificate，则仅匹配特定的客户端证书。适用于使用数字签名身份验证方法（auth-method=digital-signature）的情况。 |
username | string | EAP 或 XAuth 用户名。 |
password | string | EAP 或 XAuth 密码。 |
generate-policy | enum (no | port-override | port-strict) | 允许此对等体为不存在的策略建立 SA。此类策略在 SA 生存期内动态创建。自动策略例如允许创建受 IPsec 保护的 L2TP 隧道，或任何在配置时远程对等体 IP 地址未知的其他设置。 - no - 不生成策略； - port-override - 生成策略并强制策略使用任意端口（旧行为）； - port-strict - 使用对等体提议中的端口，该端口应与对等体策略匹配。 |
policy-template-group | enum | 用于生成的策略的策略模板组。如果没有任何模板匹配，则不会建立第 2 阶段 SA。 |