Android IKEv2 konfiantza-errorea: bidali tarteko CAa, ez erroa
Telefonoak atea ukatzen du jasotako katea goiz amaitzen delako. Erabaki: bidali tartekoa, konpondu identitatea edo aldatu gako mota.
Telefonoak konektatzeari uko egiten dio eta No trusted RSA public key found for vpn.example.net inprimatzen du, atebidearen ziurtagiri berak sare bereko ordenagailu eramangarritik funtzionatzen duen bitartean. Ziurtagiria berriro jaulkitzea da urrats tentagarria. Hori egin aurretik, jakin hiru hutsegiteetatik zein duzun, horietako bat soilik baita ziurtagiriaren edukiari buruzkoa.
Hiru hutsegite mezu baten atzean
Androidek katea eraikitzen du atebidearen ziurtagiritik VPN profilean hautatutako CAra, eta gero zerbitzariaren izena profilekin alderatzen du. Jakinarazpenak emaitza jakinarazten du, ez etapa. Konfiantza hutsegiteak esan nahi du katea ezin izan zela osatu trukean emandako ziurtagiriekin; identitate hutsegiteak katea baliozkoa dela baina izena ez datorrela bat; algoritmo hutsegiteak gailuak edo profileak ez duela gako mota edo sinadura onartzen.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
Erabaki frogak erabiliz, konponketak ordenan probatu beharrean. Demonioan 2. log mailan egindako saiakera batek zein errenkadatan zauden esaten dizu, eta inoiz oker egon ez den ziurtagiri bat berriro jaulkitzea baino gutxiago kostatzen da.
Erabaki lehenik: kate osoa iritsi da?
strongSwanek konexio horretarako prestatutako ziurtagiria bidaltzen du, eta tarteko ziurtagiriak bereizitako kredentzialak dira. CA ziurtagiri gisa kargatu behar dira demonioak kargetan jarri aurretik, beraz zerbitzariaren ziurtagiria tarteko batek sinatzen duen, erroa konfiantza-aukera den eta tartekoa CAren eraikuntza direktorioan soilik bizi den diseinuak huts egite zehatz hau sortzen du: hosto soila harian eta katea goiz amaitzen da telefonoan.
Egiaztatu demonioak zer duen swanctl inplementazioan swanctl --list-certs erabiliz, edo starter zaharrarekin ipsec listcerts. Tartekoa CA ziurtagiri gisa agertu behar da, erroa gainean duela. Falta bada, bezeroaren aukerak ez du lagunduko; badago, hurrengo galderara joan.
Gero egiaztatu bidaliko ote litzatekeen. swanctl.conf erreferentziak send_cert dokumentatzen du: lehenetsitako ifasked balioak ziurtagiriak soilik bidaltzen ditu pareak eskatu badu, eta always balioak beti bidaltzen du. Baliokide zaharra leftsendcert=always da ipsec.conf fitxategian. Ezarpen horrek bidalketa kontrolatzen du, ez erabilgarritasuna, beraz ezin du demonioak inoiz kargatu ez zuen tartekoa ordeztu.
Katea laburra bada, kargatu tartekoa demonioak bilatzen duen tokian
Jarri tartekoa CA direktorioan, hostoaren ondoan beharrean: /etc/ipsec.d/cacerts ipsec.conf duen diseinurako, /etc/swanctl/x509ca swanctlrako, edo zure paketeak ordezkatzen duen bidea. Birkargatu konfigurazioa eta zerrendatu ziurtagiriak berriro. Bertsio batzuek katea hosto fitxategian duten sorta ere bidaltzen dute, baina CA direktorioa da bertsioen eta paketeen arteko antolaketa eramangarria.
Egiaztatu bezeroaren aldetik ere. Telefonoak trukeak eraman duena soilik ikusten du, beraz 2. mailako demonio erregistroak tartekoa erakutsi behar du bidalitako ziurtagirien artean. Erregistroak erakusten badu eta telefonoak huts egiten badu oraindik, taulako beste errenkada batean zaude eta CA fitxategiak doitzeak ez du emaitza aldatuko.
Katea osoa bada, utzi ziurtagiriak editatzeari
Identitate hutsegitea VPN profileko izenaren eta ziurtagiriko izenaren arteko desadostasuna da. Androidek konfiguratutako zerbitzari identitatea baliozkotu zuen ziurtagiriarekin alderatzen du, beraz profileak helbide bat adierazten duen bitartean ziurtagiriak ostalari-izen bat aipatzen badu, edo profileak ziurtagiriak estaltzen ez duen ostalari-izen bat aipatzen badu, katearen baliozkotzea ondo joan ondoren huts egiten du. Konpondu alde okerra eta mantendu profila eta ziurtagiria lerrokatuta.
Algoritmo hutsegitea kate baliozkoarekin eta izen egokiarekin agertzen da. Android bertsioek onartzen dituzten gako motak eta sinadura eskema desberdinak dira, eta profil motak berak aukerak mugatzen ditu. Atebideak konbinazio zahar edo ezohikoa erabiltzen badu, alderatu gailuak onartzen duenarekin ziurtagiria hondatuta dagoela pentsatu aurretik. Erregistroak eskuko keinua konfiantza kasuan baino urrunago doala erakutsiko du, katea jada arazoa ez delako seinalea.
Ez instalatu tartekoa erabiltzaile-erro gisa telefonoan
Falta den tartekoa erabiltzaile ziurtagiri gisa telefonoan instalatzeak abisua desagertarazten du eta telefonoaren konfiantza-eredua aldatzen du erabiltzaileak instalatutako erroak onartzen dituen aplikazio bakoitzerako. Hurrengo bezeroari erasango dion entrega akatsa ere ezkutatzen du, eta ateari etorkizuneko gailu bakoitzari kate osatugabea bidaltzen uzten dio. Konponbide iraunkorra zerbitzarian dago, behin, bezero guztientzat.
Eduki hiru erabakiak bereizita aldaketa-erregistroan: zein ziurtagiri transmititu ziren, zein identitate alderatu zen eta zein algoritmo negoziatu zen. Beti bere kate osoa bidaltzen duen atea, ziurtagiria behar bezala izendatzen duen profila eta flotak onartzen duen gako mota hiru gertaera txiki dira, eta huts egite osoa dira.