strongSwan: açar növü, yükləyici və yanlış backend

PEM konteynerdir, açar növü deyil. Sertifikatın açıq açarını şəxsi açarla müqayisə edin, sonra onu həqiqətən oxuyan backend vasitəsilə yükləyin.

Fayl uzantıları açar alqoritmlərini müəyyən etmir və .pem zərfi RSA və ya ECDSA materialını saxlaya bilər. PEM baytların necə sarıldığını təsvir edir, RSA və ECDSA isə fərqli alqoritmləri adlandırır, PKCS12 faylı isə tamam başqa şeydir. strongSwan etimad məlumatlarını plaginlər və konfiqurasiya backend-i vasitəsilə yükləyir, buna görə sertifikat siyahıda görünə bilər, şəxsi açar isə heç vaxt istifadə oluna bilən olmaz. Hər hansı sirri redaktə etməzdən əvvəl bu qatları ayırın.

Kodlaşdırma, alqoritm və qablaşdırma üç ayrı qatdır

Açar faylının kodlaşdırması, alqoritmi və çox vaxt konteyneri olur. PEM tanış base64 zərfidir; DER onun binar qarşılığıdır; PKCS12 sertifikatı açarı və zənciri ilə birlikdə birləşdirir. Sertifikat zənciri faylı daha bir konteynerdir və adətən heç bir şəxsi açar saxlamır. Bu etiketlərin heç biri içəridəki materialın RSA yoxsa ECDSA olduğunu demir.

Alqoritmi obyektin özündən oxuyun. Provayderin marketinq adı və ya fayl uzantısı sübut deyil, çünki eyni emitent fərqli açar növləri verə bilər.

Yükləyicini günahlandırmazdan əvvəl açıq açarları müqayisə edin

Yüklənən sertifikat sertifikatın analiz olunduğunu sübut edir, şəxsi açarının mövcud və ya istifadəyə yararlı olduğunu yox. Açıq açarı sertifikatdan və təklif olunan şəxsi açardan çıxarın, sonra iki digest-i müqayisə edin. Əgər hər hansı çıxarış uğursuz olarsa, orada dayanın, çünki boş nəticənin digest-i heç nə sübut etmir. Uyğun digest-lər cütün bir-birinə aid olduğunu sübut edir və sertifikatın işə uyğunluğu barədə başqa heç nə demir.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

İkinci əmr maşınınızdakı şəxsi materiala toxunur, amma yalnız açıq yarısını çıxarır. Belə saxlayın və heç vaxt şəxsi açarı bilete yapışdırmayın. Açar şifrələnibsə, parolu əmr sətrinə qoymaq yerinə dəstəklənən alətin onu soruşmasına icazə verin, çünki proses siyahısı onu göstərə bilər.

Köhnə ipsec.secrets və ya swanctl etimad məlumatları

strongSwan-ın ümumi istifadədə iki etimad məlumatı yolu var. Köhnə starter yığını tipə xas qeydləri buradan oxuyur: ipsec.secrets, və hər qeyd material üçün düzgün növü göstərməlidir. swanctl və vici yığını açarları öz etimad qovluğundan öz konfiqurasiyası ilə yükləyir. İşləyən backend-in oxumadığı faylı redaktə etmək heç nəyi dəyişmir.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Hansı backend-in həqiqətən işlədiyini tapın, sonra açarı həmin backend-in baxdığı yerə qoyun. strongSwan 5.9 köhnə təlimatı tipə xas sirr qeydlərini müəyyən edir və bu, swanctl sənədləri deyil. İkisini qarışdırmaq administratorun səlahiyyətli hesab etdiyi faylı görməzlikdən gələn demon yaradır. Xəta bildirməyən yenidən yükləmə yalnız konfiqurasiyanın analiz olunduğunu bildirir.

Yükləmə hadisəsini və autentifikasiya nəticəsini oxuyun

Nəzarətli yenidən yükləmədən sonra demonun öz yükləmə çıxışını konkret açar üçün oxuyun. Status çıxarışında göstərilən sertifikat şəxsi açarın ona uyğunlaşdırıldığını göstərmir.

Əgər müştəri hələ də uğursuz olursa, server hadisəsini və müştəri xətasını ayrı saxlayın. Zəncir yoxlaması, kimlik uyğunluğu və metod uyğunluğu öz sübutları olan sonrakı suallardır. Nəticəni dəqiq açar yolu və müqayisə etdiyiniz digest ilə yazın, əks halda növbəti növbə eyni yenidən yükləməni təkrarlayacaq. CA-nı dəyişmək yükləyici uyğunsuzluğuna ilk cavab deyil.

Əlaqəli məqalələr