Gwall ymddiriedaeth IKEv2 Android: anfonwch y CA canolradd, nid gwraidd

Mae’r ffôn yn gwrthod cysylltu ac yn argraffu No trusted RSA public key found for vpn.example.net, tra bo yr un dystysgrif porth yn gweithio o liniadur ar yr un rhwydwaith. Y cam demtiol yw ailddyro’r dystysgrif. Cyn hynny, darganfyddwch pa un o’r tair methiant sydd gennych, oherwydd dim ond un sy’n ymwneud â chynnwys y dystysgrif.

Tair methiant y tu ôl i un neges

Mae Android yn adeiladu cadwyn o dystysgrif y porth i’r CA a ddewiswyd yn y proffil VPN, yna’n cymharu enw’r gweinydd â’r proffil. Mae’r hysbysiad yn adrodd y canlyniad, nid y cam. Mae methiant ymddiriedaeth yn golygu na ellid cwblhau’r gadwyn â’r tystysgrifau a draddodwyd yn y cyfnewid; mae methiant hunaniaeth yn golygu bod y gadwyn yn ddilys ond nad yw’r enw’n cyfateb; mae methiant algorithm yn golygu nad yw’r ddyfais na’r proffil yn derbyn y math o allwedd neu’r llofnod.

Penderfynwch gyda thystiolaeth yn lle ceisio trwsio mewn trefn. Mae un ymgais ar lefel 2 y log ar y daemon yn dweud pa res ydych ynddi, ac mae’n costio llai na ailddyro tystysgrif nad oedd erioed yn anghywir.

Penderfynwch yn gyntaf: a gyrhaeddodd y gadwyn gyfan?

Mae strongSwan yn anfon y dystysgrif a baratowyd ar gyfer y cysylltiad hwnnw, ac mae tystysgrifau canolradd yn dystiolaethau ar wahân. Rhaid eu llwytho fel tystysgrifau CA cyn i’r daemon eu gosod mewn llwyth, felly mae cynllun lle mae tystysgrif y gweinydd wedi’i llofnodi gan un canolradd, y gwraidd yw angor ymddiriedaeth, a’r canolradd yn byw yn unig yng nghyfeiriadur adeiladu’r CA, yn cynhyrchu’r union fethiant hwn: y ddeilen ar ei phen ei hun ar y weiren, a’r gadwyn yn gorffen yn gynnar ar y ffôn.

Gwiriwch beth sydd gan y daemon gyda swanctl --list-certs mewn gosodiad swanctl, neu ipsec listcerts gyda’r hen starter. Dylai’r canolradd ymddangos fel tystysgrif CA gyda’r gwraidd uwchben. Os yw ar goll, ni fydd unrhyw opsiwn cleient yn helpu; os yw’n bresennol, ewch i’r cwestiwn nesaf.

Yna gwiriwch a fyddai’n cael ei anfon. Mae cyfeiriad swanctl.conf yn dogfennu send_cert, y mae ei ragosodiad ifasked yn anfon tystysgrifau dim ond pan fydd y cymar wedi gofyn; mae always yn anfon beth bynnag. Yr hyn sy’n cyfateb yn yr hen ffordd yw leftsendcert=always yn ipsec.conf. Mae’r gosodiad hwnnw’n rheoli anfon, nid argaeledd, felly ni all wneud iawn am canolradd na lwythodd y daemon erioed.

Os yw’r gadwyn yn fyr, llwythwch y canolradd lle mae’r daemon yn chwilio

Rhowch y canolradd yng nghyfeiriadur y CA, nid wrth ymyl y ddalen: /etc/ipsec.d/cacerts ar gyfer cynllun gyda ipsec.conf, /etc/swanctl/x509ca ar gyfer swanctl, neu’r llwybr y mae eich pecyn yn ei ddisodli. Ail-lwythwch y ffurfweddiad a rhestru’r tystysgrifau eto. Mae rhai fersiynau hefyd yn anfon bwndel sy’n cynnwys y gadwyn y tu mewn i’r ffeil ddalen, ond cyfeiriadur y CA yw’r drefn gludadwy ar draws fersiynau a phecynnau.

Gwiriwch o ochr y cleient hefyd. Nid yw’r ffôn yn gweld ond yr hyn a gariwyd gan y cyfnewid, felly dylai log y daemon ar lefel 2 ddangos y canolradd ymhlith y tystysgrifau a anfonwyd. Os yw’r log yn ei ddangos a’r ffôn yn dal i fethu, rydych mewn rhes arall o’r tabl, ac ni fydd addasu ffeiliau CA yn newid y canlyniad.

Os yw’r gadwyn yn gyflawn, stopiwch olygu tystysgrifau

Mae methiant hunaniaeth yn anghytundeb rhwng yr enw yn y proffil VPN a’r enw yn y dystysgrif. Mae Android yn cymharu hunaniaeth y gweinydd a ffurfweddwyd gennych â’r dystysgrif a ddilysodd, felly mae proffil sy’n pwyntio at gyfeiriad tra bo’r dystysgrif yn enwi enw gwesteiwr, neu broffil sy’n enwi enw gwesteiwr nad yw’r dystysgrif yn ei gwmpasu, yn methu ar ôl dilysu cadwyn llwyddiannus. Trwsiwch yr ochr anghywir a chadwch y proffil a’r dystysgrif yn unol pan fydd un yn newid.

Mae methiant algorithm yn ymddangos gyda chadwyn ddilys ac enw cyfatebol. Mae rhyddhau Android yn gwahaniaethu yn y mathau o allweddi a chynlluniau llofnod y maent yn eu derbyn, ac mae math y proffil ei hun yn cyfyngu’r opsiynau. Os yw’r porth yn defnyddio cyfuniad hŷn neu anarferol, cymharwch ef â’r hyn y mae’r ddyfais yn ei gefnogi cyn tybio bod y dystysgrif wedi’i llygru. Bydd log y daemon yn dangos bod yr ysgwyd llaw yn mynd ymhellach nag yn achos ymddiriedaeth, sef y signal nad yw’r gadwyn yn broblem mwyach.

Peidiwch â gosod y canolradd fel gwraidd defnyddiwr ar y ffôn

Mae gosod y canolradd coll fel tystysgrif defnyddiwr ar y ffôn yn dileu’r rhybudd ac yn newid model ymddiriedaeth y ffôn ar gyfer pob ap sy’n derbyn gwreiddiau a osodwyd gan ddefnyddwyr. Mae hefyd yn cuddio nam dosbarthu a fydd yn taro’r cleient nesaf, ac yn gadael i’r porth anfon cadwyn anghyflawn at bob dyfais yn y dyfodol. Mae’r atgyweiriad parhaus ar y gweinydd, unwaith, ar gyfer pob cleient.

Cadwch y tri phenderfyniad ar wahân yn y cofnod newid: pa dystysgrifau a drosglwyddwyd, pa hunaniaeth a gymharwyd, a pha algorithm a drafodwyd. Porth sy’n anfon ei gadwyn gyflawn bob amser, proffil sy’n enwi’r dystysgrif yn gywir, a math o allwedd y mae’r fflyd yn ei gefnogi yw tri ffaith fach, a nhw yw’r methiant cyfan.