strongSwan: tip ključa, učitavač i pogrešan backend

PEM je kontejner, a ne tip ključa. Uporedite javni ključ certifikata s privatnim, a zatim ga učitajte kroz backend koji ga zaista čita.

Ekstenzije datoteka ne određuju algoritme ključeva, a .pem omotač može sadržavati RSA ili ECDSA materijal. PEM opisuje kako su bajtovi umotani, dok RSA i ECDSA imenuju različite algoritme, a PKCS12 datoteka je opet treća stvar. strongSwan učitava vjerodajnice kroz dodatke i konfiguracijski backend, pa se certifikat može pojaviti na listi dok privatni ključ nikada ne postane upotrebljiv. Odvojite te slojeve prije uređivanja bilo koje tajne.

Kodiranje, algoritam i pakiranje tri su sloja

Datoteka ključa ima kodiranje, algoritam i često kontejner. PEM je poznati base64 omotač; DER je njegov binarni pandan; PKCS12 spaja certifikat s njegovim ključem i lancem. Datoteka lanca certifikata još je jedan kontejner i obično ne sadrži nikakav privatni ključ. Nijedna od tih oznaka ne govori je li materijal unutra RSA ili ECDSA.

Pročitajte algoritam iz samog objekta. Marketinško ime pružatelja ili ekstenzija datoteke nije dokaz, jer isti izdavatelj može izdavati različite tipove ključeva.

Uporedite javne ključeve prije nego okrivite učitavač

Certifikat koji se učita dokazuje da je certifikat parsiran, a ne da je njegov privatni ključ prisutan ili upotrebljiv. Izvedite javni ključ iz certifikata i iz predloženog privatnog ključa, zatim uporedite dva sažetka. Ako bilo koje izdvajanje ne uspije, zaustavite se tu, jer sažetak praznog izlaza ne dokazuje ništa. Podudarni sažeci dokazuju da par pripada zajedno i ništa više o tome odgovara li certifikat poslu.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Druga naredba dotiče privatni materijal na vašem računaru, ali ispisuje samo javnu polovicu. Neka tako ostane i nikada ne lijepite privatni ključ u tiket. Ako je ključ šifriran, pustite podržani alat da zatraži lozinku umjesto da je stavljate u naredbeni redak gdje je popis procesa može otkriti.

Naslijeđeni ipsec.secrets ili swanctl vjerodajnice

strongSwan ima dva uobičajena puta vjerodajnica. Naslijeđeni starter stack čita unose specifične za tip iz ipsec.secrets, a svaki unos mora navesti ispravan tip za materijal. swanctl i vici stack učitava ključeve iz vlastitog direktorija vjerodajnica kroz vlastitu konfiguraciju. Uređivanje datoteke koju pokrenuti backend ne čita ne mijenja ništa.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Otkrijte koji backend stvarno radi, zatim smjestite ključ tamo gdje taj backend gleda. strongSwan 5.9 naslijeđeni priručnik definira unose tajni specifične za tip i nije swanctl dokumentacija. Miješanje dvojega stvara demona koji ignorira datoteku koju administrator smatra mjerodavnom. Ponovno učitavanje koje ne prijavi grešku samo znači da je konfiguracija parsirana.

Pročitajte događaj učitavanja i rezultat autentikacije

Nakon kontroliranog ponovnog učitavanja pročitajte vlastiti izlaz učitavanja demona za konkretni ključ. Certifikat naveden u ispisu stanja ne pokazuje da je privatni ključ s njim uparen.

Ako klijent i dalje ne uspijeva, držite događaj poslužitelja i pogrešku klijenta odvojeno. Provjera lanca, podudaranje identiteta i kompatibilnost metoda kasnija su pitanja s vlastitim dokazima. Zapišite ishod s točnim putem ključa i sažetkom koji ste usporedili, jer će sljedeća smjena inače ponoviti isto učitavanje. Zamjena CA nije prva reakcija na nepodudarnost učitavača.

Povezani članci