strongSwan: cineál eochrach, lódóir agus an backend mícheart

Ní aithníonn síneadh comhaid algartaim eochrach, agus is féidir le clúdach .pem ábhar RSA nó ECDSA a choinneáil. Déanann PEM cur síos ar conas a dhéantar beart a fhilleadh, agus ainmníonn RSA agus ECDSA algartaim éagsúla, agus is rud eile ar fad é comhad PKCS12. Lódálann strongSwan dintiúirí trí bhreiseáin agus trí backend cumraíochta, mar sin féadann teastas teacht chun solais i liosta gan an eochair phríobháideach a bheith inúsáidte riamh. Scar na cisil sin sula n-athraíonn tú aon rún.

Is trí chiseal iad ionchódú, algartam agus pacáistiú

Tá ionchódú, algartam agus coimeádán go minic ag comhad eochrach. Is é PEM an clúdach base64 aithnidiúil; is é DER a mhacasamhail dhénártha; cuachann PKCS12 teastas lena eochair agus lena shlabhra. Is coimeádán eile fós é comhad slabhra teastas, agus de ghnáth ní bhíonn aon eochair phríobháideach ann ar chor ar bith. Ní insíonn aon cheann de na lipéid sin an é RSA nó ECDSA an t-ábhar istigh.

Léigh an t-algartam ón réad féin. Ní cruthúnas é ainm margaíochta soláthraí ná síneadh comhaid, mar is féidir leis an eisitheoir céanna cineálacha éagsúla eochrach a eisiúint.

Déan comparáid idir eochracha poiblí sula gcuirfidh tú an locht ar an lódóir

Provaíonn teastas a lódáiltear gur parsáladh an teastas, ní go bhfuil a eochair phríobháideach i láthair nó inúsáidte. Díorthaigh an eochair phoiblí ón teastas agus ón eochair phríobháideach atá beartaithe, ansin déan comparáid idir an dá haischlib. Má theipeann ar aon eastóscadh, stop ansin, mar ní chruthaíonn aischlib aschuir fholamh aon rud. Provaíonn aischlibeanna comhoiriúnacha go mbaineann an péire le chéile, agus ní rud ar bith eile faoi cé acu a oireann an teastas don obair.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Baineann an dara ordú le hábhar príobháideach ar do mheaisín ach ní astaíonn sé ach an leath phoiblí. Coinnigh mar sin é, agus ná greamaigh eochair phríobháideach i dticéad go deo. Má tá an eochair chriptithe, lig don uirlis thacaithe an frása pasfhocail a iarraidh seachas é a chur ar líne orduithe inar féidir le liosta próiseas é a nochtadh.

ipsec.secrets seanaimseartha nó dintiúirí swanctl

Tá dhá chonair dintiúirí in úsáid go coitianta ag strongSwan. Léann an sean-stack starter iontrálacha a bhaineann go sonrach le cineál as ipsec.secrets, agus caithfidh gach iontráil an cineál ceart a ainmniú don ábhar. Lódálann an stack swanctl agus vici eochracha óna chomhadlann dintiúirí féin trína chumraíocht féin. Ní athraíonn sé rud ar bith an comhad nach léann an backend atá ag rith a chur in eagar.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Faigh amach cén backend atá ag rith i ndáiríre, ansin cuir an eochair san áit a bhféachann an backend sin. sean-lámhleabhar strongSwan 5.9 sainmhíníonn sé na hiontrálacha rúin a bhaineann go sonrach le cineál, agus ní doiciméadú swanctl é. Cruthaíonn meascadh an dá rud daemon a dhéanann neamhaird de chomhad a mheasann an riarthóir a bheith údarásach. Ní chiallaíonn athlódáil nach dtuairiscíonn aon earráid ach gur parsáladh an chumraíocht.

Léigh an t-imeacht lódála agus toradh an fhíordheimhnithe

Tar éis athlódáil rialaithe, léigh aschur lódála an daemon féin don eochair ar leith. Ní thaispeánann teastas atá liostaithe i ndumpa stádais gur meaitseáladh an eochair phríobháideach leis.

Má theipeann ar chliant fós, coinnigh imeacht an fhreastalaí agus earráid an chliaint ar leith. Bailíochtú slabhra, meaitseáil féiniúlachta agus comhoiriúnacht modhanna ceisteanna níos déanaí iad a bhfuil a bhfianaise féin acu. Scríobh an toradh síos leis an gconair eochrach bheacht agus leis an aischlib a rinne tú comparáid uirthi, mar mura ndéanfaidh tú beidh an tsealad seo chugainn ag athrá na hathlódála céanna. Ní hé athchur an CA an chéad fhreagra ar mhífhiús lódóra.