Mae gan IKEv2 ddau lofnod: tystysgrif ac IKE_AUTH
Mae'r CA yn llofnodi'r dystysgrif, ac mae'r partner yn llofnodi ei gyfnewid IKE_AUTH â'i gynllun ei hun. Darllenwch bob un o'i faes ei hun, yna cofnodwch y ddau.
Mae eich tocyn yn dweud bod y dystysgrif yn SHA-256 tra bo log y porth yn enwi algorithm llofnod gwahanol, ac mae rhywun eisoes wedi drafftio cais i ailddyro'r CA. Cyn i'r cais hwnnw fynd unrhyw le, gwahanwch y ddau lofnod: un yw stamp yr ysodwr ar allwedd gyhoeddus, a'r llall yw y partner yn profi ei fod yn dal yr allwedd breifat gyfatebol yn ystod IKE_AUTH. Mae gwahanol gydrannau yn eu dewis, a chaniateir iddynt fod yn wahanol. Mae darllen pob un o'r man lle mae'n byw yn cymryd dwy orchymyn ac un tabl.
Darllenwch lofnod yr ysodwr o'r dystysgrif
Mae'r CA yn rhoi ei lofnod ar rwymiad rhwng hunaniaeth ac allwedd. Mae'r llofnod hwnnw'n cofnodi'r hyn a wnaeth y CA wrth gyhoeddi, nid yr hyn a wnaiff y goddrych wrth gysylltu, felly mae ei algorithm yn disgrifio dewis hash ac allwedd y CA ei hun. Gall allwedd goddrych o un math fod o dan allwedd CA o fath arall heb unrhyw anghysondeb, ac mae cylchdroi allwedd CA yn drefn arferol yn hytrach na nam. Darllenwch y ddau faes ac mae gennych hanner y rhestr:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Ysgrifennwch y ddau label fel cofnodion ar wahân. Mae'r cyntaf yn disgrifio'r CA, mae'r ail yn disgrifio allwedd y goddrych, ac nid yw'r un ohonynt yn rhagweld y llofnod ar-lein.
Darllenwch y llofnod ar-lein o gyfnewidiad IKE
Yn ystod dilysu mae pob partner yn llofnodi data cyfnewid â'i allwedd breifat ei hun, ac mae'r ochr arall yn gwirio'r prawf hwnnw yn erbyn hunaniaeth, cadwyn ymddiriedaeth a pholisi'r dystysgrif. Ar gyfer RSA mae'r padio a'r hash yn perthyn i'r cynllun ar-lein hwn, felly ni all allwedd hirach na thystysgrif SHA-256 newydd ddewis RSA-PSS ar gyfer y llofnod dilysu ar ei ben ei hun. Mae'r dull a drafodwyd yn ymddangos yn log y daemon neu yn ei restr cysylltiadau, byth yn y dystysgrif. Gofynnwch i bob ochr beth a drafododd, oherwydd gall y ddau gyfeiriad fod yn wahanol.
ipsec statusall | grep -i "auth\|proposal"Pan fydd un ochr yn enwi cynllun na all y llall ei gynhyrchu, rydych wedi dod o hyd i'r anghysondeb yr oedd y tocyn yn ei gylch. Ailddyro'r CA yw'r atgyweiriad anghywir ar ei gyfer, oherwydd ni fu'r dystysgrif erioed yn yr hyn a fethodd.
Beth mae RFC 7427 yn ei newid, a beth nad yw
Mae'r dulliau gwreiddiol wedi'u rhifo fesul cyfuniad algorithm yn RFC 7296. Mae'r estyniad llofnod RFC 7427 diweddarach yn ychwanegu dull Digital Signature cyffredinol gyda signalau cefnogaeth hash llofnod, felly nid oes angen rhif dull ei hun ar hash newydd mwyach. Mae'n cael ei drafod, nid ei dybio: nid yw partner yn ennill yr estyniad oherwydd y gall ei lyfrgell ddadansoddi'r un tystysgrifau, ac mae partner sy'n gweithredu dim ond y dulliau gwreiddiol yn gorfodi'r porth i gadw un ohonynt. Masnach bolycy gyda chost cydnawsedd yw hynny, nid diffyg.
Mae cymorth fesul cyfeiriad a fesul cysylltiad, felly profwch y build sydd o'ch blaen yn hytrach na choelio honiad ar lefel teulu. Mae matrics gallu a ysgrifennwyd dair blynedd yn ôl yn disgrifio buildiau tair blwydd oed.
Rhowch bedair rhes yn y rhestr
Mae gan y cofnod sy'n diweddu'r ddadl bedair llinell, pob un wedi'i darllen o fan gwahanol a phob un wedi'i newid gan berson gwahanol. Llenwch ef cyn penderfynu unrhyw beth, oherwydd y rhes sy'n anghywir sy'n dewis y drws.
| Gwrthrych | O ble i'w darllen | Pwy sy'n ei newid |
|---|---|---|
| llofnod ysodwr y dystysgrif | maes Signature Algorithm y dystysgrif | gweithredydd y CA, wrth gyhoeddi |
| allwedd gyhoeddus y goddrych | maes Public Key Algorithm y dystysgrif | pwy bynnag sy'n cynhyrchu allwedd y goddrych |
| cynllun dilysu IKE | log y daemon neu restr cysylltiadau, hysbysiad auth a signature-hash | proffil IKE ar y ddau bartner |
| algorithmau amddiffyn IKE ac ESP | rhestr cynigion y cysylltiad | proffil IPsec, fesul cyfeiriad |
Mae gan bob rhes ei ganlyniad cydnawsedd ei hun. Nid yw newid seiffr ESP yn dewis llofnod yr ysodwr, ac nid yw llacio dilysu CA yn ychwanegu dull ar-lein na thrafododd y partneriaid erioed. Pan fydd tocyn yn honni anghysondeb llofnod, bron byth mai'r rhes gyntaf yw'r un sydd wir yn anghywir.
Datryswch yr achos hen heb wanhau'r PKI
Efallai na fydd partner hŷn yn cynnig dim ond cynllun nad yw eich polisi yn ei ganiatáu mwyach. Y dewisiadau yw eithriad cydnawsedd â therfyn amser, diweddariad cleient, neu drefniant dilysu gwahanol ar gyfer y partner hwnnw yn unig. Nid yw ailadeiladu'r PKI o amgylch llofnod tystysgrif wannach yn trwsio cyfyngiad yn y cyfnewid ar-lein, ac mae'n gwanhau pob gwasanaeth arall sy'n ymddiried yn yr un CA. Cofnodwch pa rhes a newidiwyd gennych a phryd y bydd yr eithriad yn dod i ben.
Yna ailadroddwch y ddau ddarlleniad o'r dechrau, oherwydd gall newid mewn un rhes symud yr hyn a drafodir mewn un arall. Mae'r rhestr gyfan yn ddau orchymyn ac un tabl, a'r un gwaith yw hi p'un a yw'r partner yn llwybrydd, yn liniadur neu'n offeryn.