IKEv2 yana da sa hannu biyu: takardar shaida da IKE_AUTH
CA na sa hannu kan takardar shaida, kuma abokin haɗin yana sa hannu kan musayar IKE_AUTH da tsarinsa. Karanta kowanne daga filinsa, sannan ka rubuta duka biyu.
Tikit ɗinka ya ce takardar shaida SHA-256 ce, yayin da log ɗin ƙofar ke ambaton wani algorithm na sa hannu daban, kuma wani ya riga ya rubuta buƙatar sake fitar da CA. Kafin wannan buƙatar ta je ko'ina, raba sa hannun biyu: ɗaya hatimin mai bayarwa ne a kan maɓallin jama'a, ɗayan kuma shi ne tabbacin da abokin haɗin ke bayarwa cewa yana da maɓallin sirri mai dacewa yayin IKE_AUTH. Sassan daban-daban ne suke zaɓar su, kuma an ba su izinin bambanta. Karanta kowanne daga inda yake zaune yana buƙatar umarni biyu da tebur ɗaya.
Karanta sa hannun mai bayarwa daga takardar shaida
CA na sanya sa hannunta a kan haɗin da ke tsakanin asali da maɓalli. Wannan sa hannun yana rubuta abin da CA ta yi a lokacin bayarwa, ba abin da mai nema zai yi lokacin da ya haɗa ba, don haka algorithm ɗinsa yana bayyana zaɓin hash da maɓalli na CA kanta. Maɓallin mai nema na wani nau'i na iya zama ƙarƙashin maɓallin CA na wani nau'i ba tare da wani sabani ba, kuma juya maɓallin CA al'ada ce ba aibi ba. Karanta filayen biyu kuma kana da rabin lissafin:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Rubuta dukan lakabin biyu a matsayin shigarwa daban. Na farko yana bayyana CA, na biyu yana bayyana maɓallin mai nema, kuma babu ɗayansu da ke hasashen sa hannun kan layi.
Karanta sa hannun kan layi daga musayar IKE
Yayin tabbatarwa kowane abokin haɗin yana sa hannu kan bayanan musayar da maɓallinsa na sirri, kuma ɗayan gefen yana duba wannan tabbacin a kan asalin takardar shaida, sarkar amincewa da manufa. A RSA cikawa da hash na wannan tsarin kan layi ne, don haka dogon maɓalli ko sabuwar takardar shaida ta SHA-256 ba za ta iya zaɓar RSA-PSS da kanta don sa hannun tabbatarwa ba. Hanyar da aka tattauna tana bayyana a log ɗin daemon ko a jerin haɗin sa, ba a cikin takardar shaida ba. Tambayi kowane gefe abin da ya tattauna, domin kwafin biyu na iya bambanta.
ipsec statusall | grep -i "auth\|proposal"Lokacin da wani gefe ya ambaci tsarin da ɗayan ba zai iya samarwa ba, ka sami rashin daidaiton da tikit ɗin ya kasance game da shi. Sake fitar da CA shine gyaran da bai dace ba a gare shi, domin takardar shaida ba ita ce ta gaza ba.
Abin da RFC 7427 ke canzawa, da abin da ba ya canzawa
An ƙidaya hanyoyin asali bisa kowane haɗin algorithm a cikin RFC 7296. Tsawaitawar sa hannu ta RFC 7427 daga baya tana ƙara hanyar Digital Signature ta gama gari tare da nuna goyon bayan hash na sa hannu, don haka sabon hash ba ya buƙatar lambar hanyarsa. Ana tattaunawa da shi, ba a ɗauka ba: abokin haɗin ba ya samun tsawaitawar saboda ɗakin karatunsa na iya nazarin ire-iren waɗannan takardun shaida, kuma abokin haɗin da ke aiwatar da hanyoyin asali kaɗai yana tilasta ƙofar ta riƙe ɗayansu. Wannan cinikayyar manufa ce da farashin jituwa, ba aibi ba.
Tallafi yana bisa kowane shugabanci da kowane haɗi, don haka gwada ginin da ke gabanka maimakon dogaro da iƙirari a matakin iyali. Matrix na iya aiki da aka rubuta shekaru uku da suka wuce yana bayyana ginannun shekaru uku.
Sanya layuka huɗu a cikin lissafin
Rikodin da ke kawo ƙarshen muhawara yana da layi huɗu, kowanne an karanta shi daga wani wuri kuma kowanne wani mutum ya canza shi. Cika shi kafin ka yanke shawara, domin layin da ba daidai ba shine ke zaɓar gyaran.
| Abu | Daga ina ake karantawa | Wanene ke canza shi |
|---|---|---|
| sa hannun mai bayar da takardar shaida | filin Signature Algorithm na takardar shaida | ma'aikacin CA, a lokacin bayarwa |
| maɓallin jama'a na mai nema | filin Public Key Algorithm na takardar shaida | wanda ya ƙirƙira maɓallin mai nema |
| tsarin tabbatarwa na IKE | log ɗin daemon ko jerin haɗi, sanarwar auth da signature-hash | bayanan IKE a kan duka biyun |
| algorithms na kariya na IKE da ESP | jerin shawarwarin haɗin | bayanan IPsec, bisa kowane shugabanci |
Kowane layi yana ɗauke da sakamakon jituwarsa. Canjin cipher na ESP ba ya zaɓar sa hannun mai bayarwa, kuma sassauta tabbatar da CA ba ya ƙara hanyar kan layi da abokan haɗin ba su taɓa tattaunawa ba. Lokacin da tikit ya yi iƙirarin rashin daidaiton sa hannu, layin da ya fi kuskure kusan ba shine na farko ba.
Warware tsohon lamarin ba tare da raunana PKI ba
Wataƙila tsohon abokin haɗin zai bayar da tsarin da manufarka ba ta yarda da shi ba kuma. Zaɓuɓɓukan su ne keɓancewar jituwa mai ƙayyadadden lokaci, sabunta abokin ciniki, ko wani tsarin tabbatarwa na wannan abokin haɗin kaɗai. Sake gina PKI a kan raunin sa hannun takardar shaida ba ya gyara iyaka a musayar kan layi kuma yana raunana kowace sabis da ke amincewa da CA ɗaya. Rubuta layin da ka canza da kuma lokacin da keɓancewar zai ƙare.
Sannan sake gudanar da karatun biyu daga sama, domin canji a layi ɗaya na iya motsa abin da ake tattaunawa a wani. Dukan lissafin umarni biyu ne da tebur ɗaya, kuma aiki ɗaya ne ko abokin haɗin na'urar hanya ne, kwamfutar tafi-da-gidanka ko na'ura.