Σφάλμα εμπιστοσύνης IKEv2 στο Android: στείλτε το ενδιάμεσο CA, όχι ρίζα

Το τηλέφωνο αρνείται να συνδεθεί και εκτυπώνει No trusted RSA public key found for vpn.example.net, ενώ το ίδιο πιστοποιητικό πύλης λειτουργεί από φορητό υπολογιστή στο ίδιο δίκτυο. Το δελεαστικό βήμα είναι να εκδώσετε ξανά το πιστοποιητικό. Πριν το κάνετε, βρείτε ποια από τις τρεις αστοχίες έχετε, γιατί μόνο μία αφορά το περιεχόμενο του πιστοποιητικού.

Τρεις αστοχίες πίσω από ένα μήνυμα

Το Android χτίζει αλυσίδα από το πιστοποιητικό της πύλης έως το CA που επιλέχθηκε στο προφίλ VPN και μετά συγκρίνει το όνομα του διακομιστή με το προφίλ. Η ειδοποίηση αναφέρει το αποτέλεσμα, όχι το στάδιο. Αστοχία εμπιστοσύνης σημαίνει ότι η αλυσίδα δεν ολοκληρώθηκε με τα πιστοποιητικά της ανταλλαγής· αστοχία ταυτότητας ότι η αλυσίδα είναι έγκυρη αλλά το όνομα δεν ταιριάζει· αστοχία αλγορίθμου ότι η συσκευή ή το προφίλ δεν δέχεται τον τύπο κλειδιού ή την υπογραφή.

Αποφασίστε με στοιχεία αντί να δοκιμάζετε διορθώσεις με σειρά. Μία προσπάθεια στο επίπεδο καταγραφής 2 στον δαίμονα σας λέει σε ποια γραμμή είστε και κοστίζει λιγότερο από την επανέκδοση πιστοποιητικού που δεν ήταν ποτέ λάθος.

Αποφασίστε πρώτα: έφτασε ολόκληρη η αλυσίδα;

Το strongSwan στέλνει το πιστοποιητικό που έχει ρυθμιστεί για αυτή τη σύνδεση και τα ενδιάμεσα πιστοποιητικά είναι ξεχωριστά διαπιστευτήρια. Πρέπει να φορτωθούν ως πιστοποιητικά CA πριν ο δαίμονας τα βάλει σε φορτίο, οπότε μια διάταξη όπου το πιστοποιητικό διακομιστή υπογράφεται από ενδιάμεσο, η ρίζα είναι το άγκιστρο εμπιστοσύνης και το ενδιάμεσο ζει μόνο στον κατάλογο build του CA παράγει ακριβώς αυτή την αστοχία: μόνο το φύλλο στο σύρμα και η αλυσίδα τελειώνει νωρίς στο τηλέφωνο.

Ελέγξτε τι κρατά ο δαίμονας με swanctl --list-certs σε εγκατάσταση swanctl ή ipsec listcerts με τον παλιότερο starter. Το ενδιάμεσο πρέπει να εμφανίζεται ως πιστοποιητικό CA με τη ρίζα από πάνω. Αν λείπει, καμία επιλογή πελάτη δεν βοηθά· αν υπάρχει, προχωρήστε στην επόμενη ερώτηση.

Μετά ελέγξτε αν θα σταλεί. Η αναφορά swanctl.conf τεκμηριώνει το send_cert, του οποίου η προεπιλογή ifasked στέλνει πιστοποιητικά μόνο όταν ο ομότιμος το ζητήσει, ενώ το always στέλνει πάντα. Το παλιό ισοδύναμο είναι το leftsendcert=always στο ipsec.conf. Η ρύθμιση ελέγχει την αποστολή, όχι τη διαθεσιμότητα, άρα δεν αναπληρώνει ενδιάμεσο που ο δαίμονας δεν φόρτωσε ποτέ.

Αν η αλυσίδα είναι κοντή, φορτώστε το ενδιάμεσο εκεί που ψάχνει ο δαίμονας

Βάλτε το ενδιάμεσο στον κατάλογο CA, όχι δίπλα στο φύλλο: /etc/ipsec.d/cacerts για διάταξη με ipsec.conf, /etc/swanctl/x509ca για swanctl ή τη διαδρομή που αντικαθιστά το πακέτο σας. Επαναφορτώστε τη ρύθμιση και απαριθμήστε ξανά τα πιστοποιητικά. Κάποιες εκδόσεις στέλνουν και δέσμη με την αλυσίδα μέσα στο αρχείο φύλλου, αλλά ο κατάλογος CA είναι η φορητή διάταξη μεταξύ εκδόσεων και πακέτων.

Ελέγξτε και από την πλευρά του πελάτη. Το τηλέφωνο βλέπει μόνο ό,τι μετέφερε η ανταλλαγή, άρα το αρχείο καταγραφής στο επίπεδο 2 πρέπει να δείχνει το ενδιάμεσο στα πιστοποιητικά που στάλθηκαν. Αν το δείχνει και το τηλέφωνο αποτυγχάνει ακόμη, είστε σε άλλη γραμμή του πίνακα και η προσαρμογή αρχείων CA δεν αλλάζει το αποτέλεσμα.

Αν η αλυσίδα είναι πλήρης, σταματήστε να επεξεργάζεστε πιστοποιητικά

Αστοχία ταυτότητας είναι αναντιστοιχία μεταξύ του ονόματος στο προφίλ VPN και του ονόματος στο πιστοποιητικό. Το Android συγκρίνει την ταυτότητα διακομιστή που ρυθμίσατε με το πιστοποιητικό που επικύρωσε, οπότε προφίλ που δείχνει διεύθυνση ενώ το πιστοποιητικό ονομάζει όνομα κεντρικού υπολογιστή, ή προφίλ με όνομα που το πιστοποιητικό δεν καλύπτει, αποτυγχάνει μετά από επιτυχή επικύρωση αλυσίδας. Διορθώστε τη λάθος πλευρά και κρατήστε προφίλ και πιστοποιητικό ευθυγραμμισμένα.

Αστοχία αλγορίθμου εμφανίζεται με έγκυρη αλυσίδα και ταιριαστό όνομα. Οι εκδόσεις Android διαφέρουν ως προς τους τύπους κλειδιών και τα σχήματα υπογραφής που δέχονται, και ο ίδιος ο τύπος προφίλ περιορίζει τις επιλογές. Αν η πύλη χρησιμοποιεί παλιότερο ή ασυνήθιστο συνδυασμό, συγκρίνετέ τον με ό,τι υποστηρίζει η συσκευή πριν υποθέσετε ότι το πιστοποιητικό είναι κατεστραμμένο. Το αρχείο καταγραφής θα δείξει ότι η χειραψία προχωρά περισσότερο από την περίπτωση εμπιστοσύνης, που είναι το σήμα ότι η αλυσίδα δεν είναι πλέον το πρόβλημα.

Μην εγκαθιστάτε το ενδιάμεσο ως ρίζα χρήστη στο τηλέφωνο

Η εγκατάσταση του ενδιάμεσου που λείπει ως πιστοποιητικού χρήστη στο τηλέφωνο κάνει την προειδοποίηση να εξαφανιστεί και αλλάζει το μοντέλο εμπιστοσύνης του τηλεφώνου για κάθε εφαρμογή που δέχεται ρίζες εγκατεστημένες από χρήστη. Κρύβει επίσης σφάλμα παράδοσης που θα χτυπήσει τον επόμενο πελάτη και αφήνει την πύλη να στέλνει ημιτελή αλυσίδα σε κάθε μελλοντική συσκευή. Η διαρκής διόρθωση είναι στον διακομιστή, μία φορά, για όλους τους πελάτες.

Κρατήστε τις τρεις αποφάσεις χωριστά στο αρχείο αλλαγών: ποια πιστοποιητικά μεταδόθηκαν, ποια ταυτότητα συγκρίθηκε και ποιος αλγόριθμος διαπραγματεύτηκε. Πύλη που στέλνει πάντα την πλήρη αλυσίδα, προφίλ που ονομάζει σωστά το πιστοποιητικό και τύπος κλειδιού που υποστηρίζει ο στόλος είναι τρία μικρά γεγονότα, και είναι ολόκληρη αυτή η αστοχία.