Tá dhá shíniú ag IKEv2: teastas agus IKE_AUTH
Síníonn an CA an teastas, agus síníonn an piara a mhalartú IKE_AUTH lena scéim féin. Léigh gach ceann óna réimse féin, ansin taifead an dá cheann.
Deir do thicéad gur SHA-256 é an teastas, ach ainmníonn log an gheataí algartam síniúcháin eile, agus tá iarratas ar ath-eisiúint an CA dréachtaithe ag duine éigin cheana. Sula dtéann an t-iarratas sin áit ar bith, scar an dá shíniú: ceann amháin is ea stampa an eisitheora ar eochair phoiblí, agus is é an ceann eile cruthú an phiara go bhfuil an eochair phríobháideach mheaitseálach aige le linn IKE_AUTH. Roghnaíonn comhpháirteanna éagsúla iad, agus ceadaítear dóibh a bheith éagsúil. Tógann sé dhá ordú agus tábla amháin gach ceann a léamh ón áit a bhfuil sé ina chónaí.
Léigh síniú an eisitheora ón teastas
Cuireann an CA a shíniú ar cheangal idir féiniúlacht agus eochair. Taifeadann an síniú sin an méid a rinne an CA ag eisiúint, ní an méid a dhéanfaidh an t-ábhar nuair a nascann sé, mar sin cuireann a algartam síos ar rogha hash agus eochracha an CA féin. Is féidir le heochair ábhair de chineál amháin a bheith faoi eochair CA de chineál eile gan aon neamhréireacht, agus is gnáthchleachtas é rothlú eochracha CA seachas locht. Léigh an dá réimse agus tá leath an fhardail agat:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Scríobh an dá lipéad mar iontrálacha ar leith. Cuireann an chéad cheann síos ar an CA, cuireann an dara ceann síos ar eochair an ábhair, agus ní thuarann ceachtar acu an síniú ar líne.
Léigh an síniú ar líne ó mhalartú IKE
Le linn fíordheimhnithe síníonn gach piara na sonraí malartaithe lena eochair phríobháideach féin, agus seiceálann an taobh eile an cruthú sin i gcoinne féiniúlacht, slabhra muiníne agus polasaí an teastais. I gcás RSA baineann an líonadh agus an hash leis an scéim ar líne seo, mar sin ní féidir le heochair níos faide ná le teastas SHA-256 nua RSA-PSS a roghnú dó féin don síniú fíordheimhnithe. Taispeántar an modh idirbheartaithe i log an daemon nó ina liosta nasc, riamh sa teastas. Fiafraigh de gach taobh cad a idirbheartaigh sé, mar is féidir leis an dá threo a bheith éagsúil.
ipsec statusall | grep -i "auth\|proposal"Nuair a ainmníonn taobh amháin scéim nach féidir leis an taobh eile a tháirgeadh, tá an neamhréireacht aimsithe agat a raibh an ticéad faoi. Is é ath-eisiúint an CA an deisiú mícheart chuige, mar níorbh é an teastas riamh an rud a theip.
Cad a athraíonn RFC 7427, agus cad nach n-athraíonn
Tá na bunchórais uimhrithe de réir teaglaim algartam in RFC 7296. Cuireann an síneadh síniúcháin RFC 7427 níos déanaí modh Digital Signature ginearálta leis chomh maith le comharthaíocht tacaíochta hash síniúcháin, mar sin ní gá hash nua a uimhir mhodha féin a thuilleadh. Idirbheartaítear é, ní ghlactar leis: ní fhaigheann piara an síneadh toisc gur féidir lena leabharlann na teastais chéanna a pharsáil, agus cuireann piara nach gcuireann i bhfeidhm ach na bunchórais iallach ar an ngeataí ceann acu a choinneáil. Is malartú polasaí é sin le costas comhoiriúnachta, ní locht.
Tá an tacaíocht de réir treo agus de réir naisc, mar sin tástáil an build atá os do chomhair seachas brath ar éileamh ag leibhéal teaghlaigh. Cuireann maitrís cumais a scríobhadh trí bliana ó shin síos ar builds trí bliana d'aois.
Cuir ceithre shraith san fhardal
Tá ceithre líne sa taifead a chuireann deireadh leis an argóint, gach ceann léite ó áit éagsúil agus gach ceann athraithe ag duine éagsúil. Líon isteach é sula gcinnfidh tú aon rud, mar is é an tsraith atá mícheart a roghnaíonn an deisiú.
| Réad | Cá léifear é | Cé a athraíonn é |
|---|---|---|
| síniú eisitheoir an teastais | réimse Signature Algorithm an teastais | oibreoir an CA, ag eisiúint |
| eochair phoiblí an ábhair | réimse Public Key Algorithm an teastais | an té a ghineann eochair an ábhair |
| scéim fhíordheimhnithe IKE | log an daemon nó liosta nasc, fógra auth agus signature-hash | an phróifíl IKE ar an dá phiara |
| algartaim chosanta IKE agus ESP | liosta moltaí an naisc | an phróifíl IPsec, de réir treo |
Iompraíonn gach sraith a iarmhairt chomhoiriúnachta féin. Ní roghnaíonn athrú sifear ESP síniú an eisitheora, agus ní chuireann maolú ar bhailíochtú CA modh ar líne leis nár idirbheartaigh na piaraí riamh. Nuair a mhaíonn ticéad neamhréireacht síniúcháin, is beagnach riamh an chéad sraith an ceann atá mícheart i ndáiríre.
Réitigh an cás sean gan an PKI a lagú
B'fhéidir nach dtairgfidh piara níos sine ach scéim nach gceadaíonn do pholasaí a thuilleadh. Is iad na roghanna eisceacht chomhoiriúnachta le teorainn ama, nuashonrú cliaint, nó socrú fíordheimhnithe difriúil don phiara sin amháin. Ní dheisíonn atógáil an PKI timpeall ar shíniú teastais níos laige teorainn sa mhalartú ar líne, agus lagaíonn sé gach seirbhís eile a bhraitheann ar an CA céanna. Taifead cé acu sraith a d'athraigh tú agus cathain a théann an eisceacht in éag.
Ansin rith an dá léamh ón mbarr arís, mar féadfaidh athrú i sraith amháin an rud a idirbheartaítear i sraith eile a aistriú. Is é an fardal iomlán dhá ordú agus tábla amháin, agus is é an obair chéanna é cibé an ródaire, ríomhaire glúine nó fearas é an piara.