strongSwan send_cert: lokacin da ake aika takardar shaidar IKE

Ƙofofin shiga suna rubuta gazawar tabbatarwa da suka shafi takardun shaida, kuma tunanin farko shi ne a ƙara wata CA ga mai karɓa. Wannan yana ɗaukan cewa takardar shaidar ta iso kuma an ƙi ta. Wata yuwuwar ita ce ba a taɓa aika ta ba, kuma manufar haɗin mai aikawa ce ke ƙayyade hakan. Gano wanne daga cikin biyun ya faru kafin ka canza amincewar.

Abin da send_cert ke sarrafawa a zahiri

Tabbatarwa da takardar shaida tana buƙatar takardar shaidar ƙarshen mahallin peer ta isa ɗayan gefen ta hanyar musayar IKE ko ta hanyar shiri na baya. A cikin swanctl, saitin haɗin send_cert yana kayyade ko wannan ƙarshen yana haɗa kayan takardar shaidarsa: ba taɓa, koyaushe ko ifasked. Tsohuwar ƙima ta ifasked tana aika ta a matsayin amsar buƙatar takardar shaida daga peer. Neman takardar shaida wani saiti ne daban, domin neman takardar shaidar ɗayan gefen ba ɗaya ba ne da bayar da naka.

Tsofaffin shiryayye na ipsec.conf sun yi amfani da leftsendcert da rightsendcert, kuma waɗannan sunayen sun dace da matsayin gida da na nesa, ba kai tsaye ga swanctl ba.

Karanta gwaji ɗaya kafin ka canza haɗin

Yi ganewar asali daga gwaji ɗaya da aka sarrafa, ba daga tunanin gaba ɗaya cewa takardun shaida suna da hannu ba. Ana iya duba manufar da ƙungiyar da ke aiki.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Jerin haɗin yana nuna ƙimar da aka saita ta send_cert, jerin SA kuma yana nuna waɗanne haɗi ne suka tashi da gaske. Rajistan yana ƙara bayanan tattaunawa: ko an karɓi buƙatar takardar shaida kuma ko kayan takardar shaida ya fita. Gazawar tabbatarwa ta gama gari ba ta nuna matsalar isarwa ba, don haka nemo musayar takamaiman kafin ka yanke shawara. Rubuta tambarin lokacin gwajin domin taga rajistan ya rufe dukan musafaha.

Aminewar mai karɓa shawara ce ta dabam

Isarwa da amincewa halaye ne daban-daban, kuma gyara ɗaya ba ya gyara ɗayan. Mai karɓa dole ya mallaki ancin amincewar da aka nufa, ya karɓi sarkar da za a iya amfani da ita kuma ya dace da asalin peer da ake tsammani. Takardar shaidar ƙarshen mahalli da ta zo ba tare da takardar shaidarta ta tsakiya ba har yanzu tana faɗuwa a tsauraran binciken sarkar. Akasin haka, shigar da CA ba ya tilasta wa peer aika takardar shaidarsa kwata-kwata.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Binciken yana nuna wanne mai bayarwa ya sanya hannu kan takardar shaidar da kuma lokacin da za ta ƙare, kuma ancin mai karɓa dole ya dace da hakan. Amince da CA mai bayarwa da shiryayyen ya mallaka, ba kowace takardar shaida ta tsakiya a cikin sarkar ba, domin ɗaga kowace ta tsakiya zuwa tushe yana faɗaɗa amincewa nesa da peer ɗaya. Ka riƙe tabbatar da asali a kunne, domin haɗin da ke yin nasara kawai da kashe tabbatarwa ba gyara ba ne. Inda sarkar ba ta cika ba, gyara shiri maimakon manufar mai aikawa.

Canza mai aikawa kawai da hujja

Lokacin da rajistan ya nuna ba a taɓa aika takardar shaidar ba kuma mai karɓa ya nema ta da gaske, saita send_cert zuwa always gyara ne mai hujja ga wannan haɗin. Yi amfani da ita a cikin tsarin swanctl, sake loda haɗin kuma kafa sabon zama maimakon sake amfani da SA da ke akwai. Tabbatar cewa kayan takardar shaida yanzu ya bayyana kuma mai karɓa ya karɓe shi bisa ancin da aka nufa. Idan babu abin da ya canza, kuskuren yana gefen amincewa kuma saitin mai aikawa ba shi ne sanadin ba.

Rubuta musayar da aka gani, ancin da tabbatarwar da ta biyo baya a cikin rikodin canje-canje. Gyaran takardar shaida da ba za a iya kwatanta shi da waɗannan kalmomi ba haɗari ne kawai.