strongSwan send_cert: pryd y caiff y dystysgrif IKE ei hanfon

Mae pyrth yn cofnodi methiannau dilysu sy’n gysylltiedig â thystysgrifau, a’r reddf gyntaf yw ychwanegu CA arall at y derbynnydd. Mae hynny’n tybio bod y dystysgrif wedi cyrraedd ac wedi cael ei gwrthod. Y posibilrwydd arall yw na chafodd ei hanfon o gwbl, a pholisi cysylltiad yr anfonwr sy’n penderfynu hynny. Darganfyddwch pa un o’r ddau a ddigwyddodd cyn newid yr ymddiriedaeth.

Beth mae send_cert yn ei reoli mewn gwirionedd

Mae dilysu â thystysgrif yn gofyn bod tystysgrif endid terfynol y peer yn cyrraedd yr ochr arall drwy’r gyfnewid IKE neu drwy ddarpariaeth flaenorol. Yn swanctl mae’r gosodiad cysylltiad send_cert yn rheoli a yw’r pen hwn yn cynnwys ei lwyth tystysgrif: byth, bob amser neu ifasked. Mae’r rhagosodiad ifasked yn ei anfon mewn ymateb i gais tystysgrif gan y peer. Mae gofyn am dystysgrif yn osodiad ar wahân, oherwydd nid yw gofyn i’r ochr arall am ei thystysgrif yr un peth â chynnig eich un chi.

Roedd gosodiadau ipsec.conf hŷn yn defnyddio leftsendcert a rightsendcert, ac mae’r enwau hynny’n cyfateb i rolau lleol ac anghysbell yn hytrach nag i swanctl yn uniongyrchol.

Darllenwch un ymgais cyn newid y cysylltiad

Diagnoswch o un ymgais reoledig, nid o’r argraff gyffredinol fod tystysgrifau’n rhan o’r mater. Gellir archwilio’r polisi a’r cysylltiad gweithredol ill dau.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Mae’r rhestr cysylltiadau yn dangos gwerth send_cert a ffurfweddwyd, ac mae’r rhestr SA yn dangos pa gysylltiadau a gododd mewn gwirionedd. Mae’r log yn ychwanegu manylion y trafodaethau: a gafwyd cais tystysgrif ac a aeth llwyth tystysgrif allan. Nid yw methiant dilysu cyffredinol yn nodi problem gyflenwi, felly chwiliwch am y gyfnewid benodol cyn dod i unrhyw gasgliad. Nodwch stamp amser yr ymgais fel bod ffenestr y log yn cwmpasu’r cyfan o’r ysgwyd llaw.

Mae ymddiriedaeth y derbynnydd yn benderfyniad ar wahân

Mae cyflenwi ac ymddiriedaeth yn briodweddau gwahanol, ac nid yw trwsio’r naill yn trwsio’r llall. Rhaid i dderbynnydd feddu ar yr angor ymddiriedaeth a fwriadwyd, derbyn cadwyn y gellir ei defnyddio a chyd-fynd â hunaniaeth ddisgwyliedig y peer. Mae tystysgrif endid terfynol sy’n cyrraedd heb ei chanolradd yn dal i fethu gwiriad cadwyn llym. I’r gwrthwyneb, nid yw gosod CA yn gorfodi peer i anfon ei dystysgrif o gwbl.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Mae’r archwiliad yn dangos pa un o’r dyroddwyr a lofnododd y dystysgrif a phryd y mae’n dod i ben, a rhaid i angor y derbynnydd gyfateb i hynny. Ymddiriedwch yn y CA dyroddol sy’n eiddo i’r gosodiad, nid ym mhob tystysgrif ganolradd yn y gadwyn, oherwydd mae dyrchafu pob canolradd i fod yn wreiddyn yn ehangu ymddiriedaeth ymhell y tu hwnt i un peer. Cadwch y gwirio hunaniaeth yn weithredol, oherwydd nid yw cysylltiad sy’n llwyddo dim ond gyda’r dilysu wedi’i ddiffodd yn atgyweiriad. Lle mae’r gadwyn yn anghyflawn, trwsiwch y ddarpariaeth yn hytrach na pholisi’r anfonwr.

Newidiwch yr anfonwr dim ond gyda thystiolaeth

Pan fo’r log yn dangos na chafodd y dystysgrif ei hanfon erioed ac y gofynnodd y derbynnydd amdani, mae gosod send_cert i always yn newid cyfiawn i’r cysylltiad hwnnw. Cymhwyswch ef yng nghyfluniad swanctl, ail-lwythwch y cysylltiadau a sefydlwch sesiwn newydd yn lle ailddefnyddio’r SA presennol. Cadarnhewch fod y llwyth tystysgrif bellach yn ymddangos ac fod y derbynnydd yn ei dderbyn yn erbyn yr angor a fwriadwyd. Os nad oes dim yn newid, roedd y nam ar ochr yr ymddiriedaeth wedi’r cyfan ac nid y gosodiad anfonwr oedd y rheswm.

Ysgrifennwch y gyfnewid a arsyllwyd, yr angor a’r gwirio sy’n deillio o hynny yn y cofnod newidiadau. Mae atgyweiriad tystysgrif na ellir ei ddisgrifio yn y termau hynny yn gyd-ddigwyddiad.