strongSwan send_cert: cathain a sheoltar an deimhniú IKE

Lograíonn geataí teipeanna fíordheimhnithe a bhaineann le deimhnithe, agus is é an chéad fhrithghníomh CA eile a chur leis an nglacadóir. Glacann sé sin leis gur shroich an deimhniú agus gur diúltaíodh dó. Is é an fhéidearthacht eile nár seoladh riamh é, agus cinneann polasaí naisc an tseoltóra sin. Sainaithin cé acu den dá rud a tharla sula n-athraíonn tú an t-iontaobhas.

Cad a rialaíonn send_cert i ndáiríre

Teastaíonn ó fhíordheimhniú deimhnithe go sroicheann deimhniú eintitis deiridh an phiara an taobh eile tríd an malartú IKE nó trí sholáthar roimh ré. I swanctl rialaíonn an socrú naisc send_cert an gcuimsíonn an t-aonad seo a ualach deimhnithe féin: riamh, i gcónaí nó ifasked. Seolann an réamhshocrú ifasked é mar fhreagra ar iarraidh dheimhnithe ón bpiara. Is socrú ar leith é deimhniú a iarraidh, mar ní hionann iarraidh ar an taobh eile a dheimhniú agus do cheann féin a thairiscint.

D’úsáid imscaradh ipsec.conf níos sine leftsendcert agus rightsendcert, agus freagraíonn na hainmneacha sin do róil áitiúla agus iargúlta seachas go díreach do swanctl.

Léigh iarracht amháin sula n-athraíonn tú an nasc

Déan diagnóis ó iarracht rialaithe amháin, ní ón tuairim ghinearálta go bhfuil deimhnithe i gceist. Is féidir an polasaí agus an chomhlachas gníomhach araon a scrúdú.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Taispeánann liosta na nasc luach cumraithe send_cert, agus taispeánann liosta SA cé na naisc a tháinig suas i ndáiríre. Cuireann an log sonraí an chaibidlíochta leis: ar cuireadh iarraidh deimhnithe ar fáil agus ar imigh ualach deimhnithe amach. Ní shainaithníonn teip fhíordheimhnithe ghinearálta fadhb seachadta, mar sin aimsigh an malartú sonrach sula dtagann tú ar aon chonclúid. Nótaigh stampa ama na hiarrachta ionas go gclúdóidh fuinneog an loga an chroitheadh láimhe iomlán.

Is cinneadh ar leith é iontaobhas an ghlacadóra

Is airíonna éagsúla iad seachadadh agus iontaobhas, agus ní dheisíonn deisiú ceann amháin an ceann eile. Caithfidh an glacadóir an t-ancaire iontaobhais beartaithe a bheith aige, slabhra inúsáidte a fháil agus teacht le féiniúlacht ionchasach an phiara. Teipeann deimhniú eintitis deiridh a thagann gan a idirmheánach fós ar sheiceáil dhian slabhra. Os a choinne sin, ní chuirfidh suiteáil CA iallach ar phiara a dheimhniú a sheoladh ar chor ar bith.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Taispeánann an scrúdú cé an t-eisitheoir a shínigh an deimhniú agus cathain a théann sé in éag, agus caithfidh ancaire an ghlacadóra freagairt dó sin. Bíodh muinín agat as an CA eisitheach atá ag an imscaradh, ní as gach idirmheánach sa slabhra, mar má ardaítear gach idirmheánach go fréamh leathnaítear iontaobhas i bhfad níos faide ná piara amháin. Coinnigh fíorú na féiniúlachta gníomhach, mar ní deisiú é nasc nach n-éiríonn leis ach amháin nuair a bhíonn an bhailíochtú múchta. Nuair nach bhfuil an slabhra iomlán, deisigh an soláthar seachas polasaí an tseoltóra.

Ná hathraigh an seoltóir ach amháin le fianaise

Nuair a thaispeánann an loga nár seoladh an deimhniú riamh agus gur iarr an glacadóir é, is athrú cuí ar an nasc sin é send_cert a shocrú go always. Cuir i bhfeidhm é i gcumraíocht swanctl, athlódáil na naisc agus bunaigh seisiún nua in ionad an SA atá ann a athúsáid. Deimhnigh go bhfeictear an t-ualach deimhnithe anois agus go nglacann an glacadóir leis i gcoinne an ancaire bheartaithe. Mura n-athraíonn aon rud, bhí an locht ar thaobh an iontaobhais i ndiaidh an iomláin agus níorbh é socrú an tseoltóra ba chúis leis.

Scríobh an malartú a breathnaíodh, an t-ancaire agus an fhíorú a leanann as sa chlár athruithe. Is comhtharlú é deisiú deimhnithe nach féidir a thuairisciú sna téarmaí sin.