Earráid mhuiníne IKEv2 ar Android: seol an CA idirmheánach, ní fréamh
Diúltaíonn an fón don gheata mar go stopann an slabhra a fuarthas go luath. Socraigh: seol an t-idirmheánach, ceartaigh an fhéiniúlacht nó athraigh an cineál eochair.
Diúltaíonn an fón ceangal agus priontálann sé No trusted RSA public key found for vpn.example.net, cé go n-oibríonn an deimhniú geata céanna ó ríomhaire glúine ar an líonra céanna. Is é an chéim mhealltach an deimhniú a ath-eisiúint. Sula ndéanfaidh tú sin, aimsigh cé acu de thrí mhainneachtain atá agat, mar ní bhaineann ach ceann amháin acu le hábhar an deimhnithe.
Trí mhainneachtain taobh thiar de theachtaireacht amháin
Tógann Android slabhra ó dheimhniú an gheata go dtí an CA a roghnaíodh sa phróifíl VPN, agus ansin cuireann sé ainm an fhreastalaí i gcomparáid leis an bpróifíl. Tuairiscíonn an fógra an toradh, ní an chéim. Ciallaíonn mainneachtain muiníne nárbh fhéidir an slabhra a chríochnú leis na deimhnithe a tugadh san idirmhalartú; ciallaíonn mainneachtain fhéiniúlachta go bhfuil an slabhra bailí ach nach n-oireann an t-ainm; ciallaíonn mainneachtain algartaim nach nglacann an gléas ná an phróifíl leis an gcineál eochair nó leis an síniú.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
Socraigh le fianaise seachas deisiúcháin a thriail in ord. Insíonn iarracht amháin ag leibhéal 2 den log ar an daemon cén tsraith ina bhfuil tú, agus cosnaíonn sé níos lú ná deimhniú a ath-eisiúint nach raibh mícheart riamh.
Socraigh ar dtús: ar tháinig an slabhra iomlán?
Seolann strongSwan an deimhniú atá cumraithe don cheangal sin, agus is creidiúnaigh ar leith iad na deimhnithe idirmheánacha. Caithfear iad a lódáil mar dheimhnithe CA sula féidir leis an daemon iad a chur i bpáileád, mar sin cruthaíonn leagan amach ina bhfuil deimhniú an fhreastalaí sínithe ag idirmheánach, an fhréamh ina hancaire muiníne agus an t-idirmheánach ina chónaí go heisiach i bhfillteán tógála an CA go díreach an mhainneachtain seo: ach an duilleog ar an sreang agus an slabhra ag críochnú go luath ar an bhfón.
Seiceáil cad atá ag an daemon le swanctl --list-certs ar shuiteáil swanctl, nó ipsec listcerts leis an tsean-starter. Ba cheart don idirmheánach teacht chun solais mar dheimhniú CA leis an bhfréamh os a chionn. Mura bhfuil sé ann, ní chabhróidh aon rogha cliant; má tá, téigh ar aghaidh go dtí an chéad cheist eile.
Ansin seiceáil an seolfaí é. Déanann tagairt swanctl.conf doiciméadú ar send_cert, a sheolann a réamhshocrú ifasked deimhnithe amháin nuair a d’iarr an piara; seolann always i gcónaí. Is é leftsendcert=always in ipsec.conf an choibhéis shean. Rialaíonn an socrú sin seoladh, ní infhaighteacht, mar sin ní féidir leis idirmheánach nár lódáil an daemon riamh a chúiteamh.
Má tá an slabhra gearr, lódáil an t-idirmheánach san áit a gcuardaíonn an daemon
Cuir an t-idirmheánach i bhfillteán an CA, ní in aice na duilleoige: /etc/ipsec.d/cacerts do leagan amach le ipsec.conf, /etc/swanctl/x509ca do swanctl, nó an chonair a chuireann do phacáiste ina áit. Athlódáil an chumraíocht agus liostaigh na deimhnithe arís. Seolann roinnt leaganacha beart ina bhfuil an slabhra taobh istigh den chomhad duilleoige, ach is é fillteán an CA an socrú iniompartha idir leaganacha agus pacáistí.
Seiceáil ó thaobh an chliaint freisin. Ní fheiceann an fón ach an méid a d’iompair an t-idirmhalartú, mar sin ba cheart log an daemon ag leibhéal 2 an t-idirmheánach a thaispeáint i measc na ndeimhnithe a seoladh. Má thaispeánann an log é agus má theipeann ar an bhfón fós, tá tú i sraith eile den tábla, agus ní athróidh coigeartú comhad CA an toradh.
Má tá an slabhra iomlán, stop ag eagarthóireacht deimhnithe
Is éard is mainneachtain fhéiniúlachta ann ná easaontas idir an t-ainm sa phróifíl VPN agus an t-ainm sa deimhniú. Cuireann Android féiniúlacht an fhreastalaí a chumraigh tú i gcomparáid leis an deimhniú a bhailíochtaigh sé, mar sin teipeann ar phróifíl a dhíríonn ar sheoladh agus an deimhniú ag ainmniú óstainm, nó ar phróifíl a ainmníonn óstainm nach gclúdaíonn an deimhniú, tar éis bailíochtú slabhra rathúil. Ceartaigh an taobh mícheart agus coinnigh an phróifíl agus an deimhniú ailínithe.
Tagann mainneachtain algartaim chun solais le slabhra bailí agus ainm oiriúnach. Ní hionann leaganacha Android ó thaobh na gcineálacha eochair agus na scéimeanna sínithe a nglacann siad leo, agus cuireann cineál na próifíle féin teorainn leis na roghanna. Má úsáideann an geata meascán níos sine nó neamhghnách, cuir i gcomparáid é leis an méid a thacaíonn an gléas leis sula ngabhann tú leis go bhfuil an deimhniú truaillithe. Taispeánfaidh an log go dtéann an chroitheadh láimhe níos faide ná i gcás an mhuiníne, comhartha nach é an slabhra an fhadhb a thuilleadh.
Ná suiteáil an t-idirmheánach mar fhréamh úsáideora ar an bhfón
Má shuiteáiltear an t-idirmheánach atá in easnamh mar dheimhniú úsáideora ar an bhfón, imíonn an rabhadh agus athraítear samhail mhuiníne an fhóin do gach aip a ghlacann le fréamhacha atá suiteáilte ag an úsáideoir. Folaíonn sé freisin locht seachadta a bhuailfidh an chéad chliant eile, agus fágann sé an geata ag seoladh slabhra neamhiomlán chuig gach gléas amach anseo. Tá an deisiú marthanach ar an bhfreastalaí, uair amháin, do gach cliant.
Coinnigh na trí shocrú ar leithligh sa log athruithe: cé na deimhnithe a tarchuireadh, cé an fhéiniúlacht a cuireadh i gcomparáid agus cé an t-algartam a rinneadh a chaibidliú. Geata a sheolann a shlabhra iomlán i gcónaí, próifíl a ainmníonn an deimhniú i gceart agus cineál eochair a thacaíonn an chabhlach leis: trí fhíric bheaga, agus is iad an mhainneachtain seo ar fad.