strongSwan: nau'in maɓalli, mai lodawa da backend mara kyau

Ƙarin fayiloli ba sa gane algorithms na maɓalli, kuma ambulan .pem na iya ɗaukar kayan RSA ko ECDSA. PEM yana bayyana yadda ake naɗe bytes, yayin da RSA da ECDSA ke ambaton algorithms daban-daban, kuma fayil ɗin PKCS12 wani abu ne na uku. strongSwan na loda takardun shaida ta plugins da backend na kanfigareshan, don haka takardar shaida na iya fitowa a jeri yayin da maɓallin sirri ba zai taɓa zama mai amfani ba. Raba waɗannan matakan kafin gyara kowane asiri.

Rubutu, algorithm da fakiti matakai uku ne

Fayil ɗin maɓalli yana da rubutu, algorithm da kwano sau da yawa. PEM shine ambulan base64 da aka sani; DER shine takwaransa na binary; PKCS12 na haɗa takardar shaida da maɓallinta da sarkarta. Fayil ɗin sarkar takardar shaida wani kwano ne kuma yawanci ba ya ɗauke da wani maɓallin sirri kwata-kwata. Babu ɗaya daga cikin waɗannan lakabi da ke faɗin ko kayan da ke ciki RSA ne ko ECDSA.

Karanta algorithm daga abin da kansa. Sunan tallace-tallace na mai bayarwa ko ƙarin fayil ba hujja ba ne, domin mai bayarwa ɗaya na iya ba da nau'ikan maɓalli daban-daban.

Kwatanta maɓallan jama'a kafin ka zargi mai lodawa

Takardar shaidar da ke lodawa na tabbatar da an yi nazarin takardar, ba wai maɓallinta na sirri yana nan ko mai amfani ba. Fitar da maɓallin jama'a daga takardar da kuma daga maɓallin sirri da aka tsara, sannan ka kwatanta digests biyu. Idan kowace fitarwa ta kasa, tsaya a nan, domin digest na fitarwa marar komai ba ya tabbatar da komai. Digests masu daidaitawa na tabbatar da ma'auratan suna tare, kuma ba wani abu game da ko takardar ta dace da aikin.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Umarni na biyu na taɓa kayan sirri a injinka amma yana fitar da rabin jama'a kawai. Ka riƙe haka, kuma kada ka taɓa liƙa maɓallin sirri a tikit. Idan an rufaffen maɓallin, bar kayan aikin da aka goyi bayan ya nemi kalmar sirri maimakon saka ta a layin umarni inda jerin ayyuka zai iya fallasa ta.

Tsohon ipsec.secrets ko takardun shaida na swanctl

strongSwan yana da hanyoyin takardun shaida biyu da ake amfani da su. Tsohon starter stack yana karanta shigarwar takamaiman nau'i daga ipsec.secrets, kuma kowace shigarwa dole ta ambaci nau'in da ya dace da kayan. swanctl da vici stack suna loda maɓallai daga nasu babban fayil ɗin takardun shaida ta nasu kanfigareshan. Gyara fayil ɗin da backend ɗin da ke gudana ba ya karantawa ba ya canza komai.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Gano wane backend ne ke gudana da gaske, sannan ka saka maɓallin inda wancan backend yake duba. tsohon littafin jagora na strongSwan 5.9 yana bayyana shigarwar asirai na takamaiman nau'i, kuma ba takardun swanctl ba ne. Haɗa biyun yana haifar da daemon da ke watsi da fayil ɗin da mai gudanarwa ke ganin shi ne mai iko. Sake lodawa da ba ya ba da rahoton kuskure yana nufin kawai an yi nazarin kanfigareshan.

Karanta taron lodawa da sakamakon tabbatarwa

Bayan sake lodawa mai kulawa, karanta fitarwar lodawa ta daemon ɗin kansa don takamaiman maɓallin. Takardar shaidar da aka jera a cikin jefar yanayi ba ta nuna an daidaita maɓallin sirri da ita ba.

Idan abokin ciniki har yanzu ya kasa, ka raba taron uwar garke da kuskuren abokin ciniki. Tabbatar da sarka, daidaita asali da dacewar hanyoyin tambayoyi ne na gaba tare da nasu hujjojin. Rubuta sakamakon tare da ainihin hanyar maɓallin da digest ɗin da ka kwatanta, domin in ba haka ba canjin aiki na gaba zai maimaita wannan sake lodawa. Maye gurbin CA ba shine farkon amsa ga rashin daidaituwar mai lodawa ba.