Android IKEv2 etimad xətası: kök deyil, aralıq CA göndərin
Telefon şlüzü rədd edir, çünki aldığı zəncir tez bitir. Qərar verin: aralıq sertifikatı göndərin, kimliyi düzəldin və ya açar növünü dəyişin.
Telefon qoşulmaqdan imtina edir və No trusted RSA public key found for vpn.example.net çap edir, halbuki eyni şlüz sertifikatı eyni şəbəkədə noutbukdan işləyir. Sertifikatı yenidən vermək cəlbedici addımdır. Bundan əvvəl üç nasazlıqdan hansının sizdə olduğunu müəyyənləşdirin, çünki onlardan yalnız biri sertifikatın məzmununa aiddir.
Bir mesajın arxasında üç nasazlıq
Android şlüz sertifikatından VPN profilində seçilmiş CA-ya qədər zəncir qurur, sonra server adını profillə müqayisə edir. Bildiriş nəticəni bildirir, mərhələni deyil. Etimad nasazlığı zəncirin mübadilədə verilən sertifikatlarla tamamlana bilmədiyini, kimlik nasazlığı zəncirin doğru olduğunu amma adın uyğun gəlmədiyini, alqoritm nasazlığı isə cihazın və ya profilin açar növünü və ya imzanı qəbul etmədiyini bildirir.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
Təmir üsullarını sıra ilə sınamaq əvəzinə sübutla qərar verin. Demonun üzərində jurnal səviyyəsi 2-də bir cəhd hansı sətirdə olduğunuzu deyir və heç vaxt səhv olmayan sertifikatı yenidən verməkdən ucuz başa gəlir.
Əvvəlcə qərar verin: bütün zəncir gəldimi?
strongSwan həmin bağlantı üçün qurulmuş sertifikatı göndərir, aralıq sertifikatlar isə ayrı etimadnamələrdir. Demon onları yükə qoymadan əvvəl CA sertifikatı kimi yüklənməlidirlər, ona görə server sertifikatının aralıqla imzalandığı, kökün etimad lövbəri olduğu və aralığın yalnız CA-nın qurma qovluğunda yaşadığı quruluş məhz bu nasazlığı verir: naqildə tək yarpaq, telefonda isə zəncir tez bitir.
Demonun nə saxladığını swanctl yerləşdirməsində swanctl --list-certs, köhnə başlatıcıda isə ipsec listcerts ilə yoxlayın. Aralıq kökün üstündə CA sertifikatı kimi görünməlidir. Yoxdursa heç bir müştəri seçimi kömək etməyəcək; varsa növbəti suala keçin.
Sonra onun göndərilib-göndərilməyəcəyini yoxlayın. swanctl.conf sənədi send_cert seçimini sənədləşdirir; onun susmaya görə dəyəri ifasked sertifikatları yalnız həmsöhbət istəyəndə göndərir, always isə hər halda göndərir. Köhnə ekvivalent ipsec.conf faylında leftsendcert=always-dir. Bu parametr göndərməni idarə edir, mövcudluğu yox, ona görə demonun heç vaxt yükləmədiyi aralığı kompensasiya edə bilməz.
Zəncir qısadırsa, aralığı demonun axtardığı yerdə yükləyin
Aralığı yarpağın yanına deyil, CA qovluğuna qoyun: ipsec.conf quruluşu üçün /etc/ipsec.d/cacerts, swanctl üçün /etc/swanctl/x509ca və ya paketinizin əvəz etdiyi yol. Konfiqurasiyanı yenidən yükləyin və sertifikatları yenidən siyahıya alın. Bəzi versiyalar zənciri yarpaq faylının içində saxlayan paket də göndərir, amma CA qovluğu versiyalar və paketlər arasında daşınan düzənişdir.
Müştəri tərəfindən də yoxlayın. Telefon yalnız mübadilənin daşıdığını görür, ona görə səviyyə 2-dəki demon jurnalı aralığı göndərilən sertifikatlarda göstərməlidir. Jurnal göstərir və telefon yenə uğursuz olursa, cədvəlin başqa sətrindəsiniz və CA fayllarını düzəltməyə davam etmək nəticəni dəyişməyəcək.
Zəncir tamdırsa, sertifikatları redaktə etməyi dayandırın
Kimlik nasazlığı VPN profilindəki adla sertifikatdakı ad arasındakı uyğunsuzluqdur. Android qurduğunuz server kimliyini yoxladığı sertifikatla müqayisə edir, ona görə profil ünvana işarə edərkən sertifikat host adı deyirsə, ya da profil sertifikatın əhatə etmədiyi host adını deyirsə, zəncir uğurla yoxlandıqdan sonra uğursuz olur. Səhv tərəfi düzəldin və biri dəyişəndə profillə sertifikatı uyğun saxlayın.
Alqoritm nasazlığı doğru zəncir və uyğun adla görünür. Android buraxılışları hansı açar növlərini və imza sxemlərini qəbul etmələrində fərqlənir, və profil növünün özü seçimləri məhdudlaşdırır. Şlüz köhnə və ya qeyri-adi birləşmə işlədirsə, sertifikatın xarab olduğunu güman etməzdən əvvəl cihazın dəstəklədiyi ilə müqayisə edin. Demon jurnalı əl sıxışmasının etimad halından daha irəli getdiyini göstərəcək, bu da zəncirin artıq problem olmadığının işarəsidir.
Aralığı telefonda istifadəçi kökü kimi quraşdırmayın
Çatışmayan aralığı telefonda istifadəçi sertifikatı kimi quraşdırmaq xəbərdarlığı yox edir və istifadəçi quraşdırılmış kökləri qəbul edən hər tətbiq üçün telefonun etimad modelini dəyişir. O, növbəti müştəridə vurulacaq çatdırılma xətasını da gizlədir və şlüzün gələcək hər cihaza natamam zəncir göndərməsinə səbəb olur. Davamlı təmir serverdədir, bir dəfə, bütün müştərilər üçün.
Dəyişiklik qeydində üç qərarı ayrı saxlayın: hansı sertifikatlar ötürüldü, hansı kimlik müqayisə edildi və hansı alqoritm razılaşdırıldı. Həmişə tam zəncirini göndərən şlüz, sertifikatı düzgün adlandıran profil və donanmanın dəstəklədiyi açar növü — üç kiçik fakt budur və bütün nasazlıq elə budur.