Android IKEv2 վստահության սխալ. ուղարկեք միջանկյալ CA-ն, ոչ արմատը
Հեռախոսը մերժում է դարպասը, քանի որ ստացված շղթան վաղ է ավարտվում։ Որոշեք՝ ուղարկել միջանկյալը, ուղղել ինքնությունը թե փոխել բանալու տեսակը։
Հեռախոսը հրաժարվում է միանալ և տպում է No trusted RSA public key found for vpn.example.net, մինչդեռ նույն դարպասի վկայականը աշխատում է նույն ցանցի նոթբուքից։ Գայթակղիչ քայլը վկայականը նորից թողարկելն է։ Մինչ այդ պարզեք, թե երեք խափանումներից որն ունեք, քանի որ դրանցից միայն մեկն է վերաբերում վկայականի բովանդակությանը։
Երեք խափանում մեկ հաղորդագրության հետևում
Android-ը շղթա է կառուցում դարպասի վկայականից մինչև VPN պրոֆիլում ընտրված CA-ն, ապա համեմատում է սերվերի անունը պրոֆիլի հետ։ Ծանուցումը հաղորդում է արդյունքը, ոչ փուլը։ Վստահության խափանումը նշանակում է, որ շղթան չհաջողվեց ավարտել փոխանակման մեջ տրված վկայականներով. ինքնության խափանումը՝ շղթան վավեր է, բայց անունը չի համընկնում. ալգորիթմի խափանումը՝ սարքը կամ պրոֆիլը չի ընդունում բանալու տեսակը կամ ստորագրությունը։
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
Որոշեք ապացույցներով, ոչ թե հերթով վերանորոգումներ փորձելով։ Մեկ փորձ 2-րդ մակարդակի մատյանում դեմոնի վրա ասում է, թե որ շարքում եք, և արժե ավելի քիչ, քան երբեք սխալ չեղած վկայականի նոր թողարկումը։
Նախ որոշեք՝ ամբողջ շղթան եկե՞լ է
strongSwan-ը ուղարկում է այդ կապի համար կարգավորված վկայականը, իսկ միջանկյալ վկայականները առանձին հավատարմագրեր են։ Դրանք պետք է բեռնվեն որպես CA վկայականներ, նախքան դեմոնը կդնի դրանք բեռնվածքի մեջ, ուստի այն դասավորությունը, որտեղ սերվերի վկայականը ստորագրված է միջանկյալով, արմատը վստահության խարիսխն է, և միջանկյալը ապրում է միայն CA-ի կառուցման թղթապանակում, տալիս է հենց այս խափանումը. լարի վրա միայն տերևն է, և շղթան հեռախոսում վաղ է ավարտվում։
Ստուգեք, թե ինչ ունի դեմոնը swanctl --list-certs-ով swanctl տեղակայման մեջ, կամ ipsec listcerts-ով հին starter-ի հետ։ Միջանկյալը պետք է երևա որպես CA վկայական՝ արմատը վերևում։ Եթե բացակայում է, ոչ մի հաճախորդի ընտրանք չի օգնի. եթե կա, անցեք հաջորդ հարցին։
Ապա ստուգեք՝ կուղարկվի՞ արդյոք։ swanctl.conf-ի տեղեկատուն նկարագրում է send_cert-ը, որի լռելյայն ifasked-ը վկայականներ է ուղարկում միայն երբ գործընկերը խնդրել է, մինչդեռ always-ը միշտ ուղարկում է։ Հին համարժեքը leftsendcert=always-ն է ipsec.conf-ում։ Այդ կարգավորումը կառավարում է ուղարկումը, ոչ հասանելիությունը, ուստի չի փոխհատուցի այն միջանկյալը, որը դեմոնը երբեք չի բեռնել։
Եթե շղթան կարճ է, բեռնեք միջանկյալը այնտեղ, որտեղ դեմոնը փնտրում է
Տեղադրեք միջանկյալը CA թղթապանակում, ոչ տերևի կողքին. /etc/ipsec.d/cacerts ipsec.conf-ով դասավորության համար, /etc/swanctl/x509ca swanctl-ի համար, կամ այն ուղին, որը փոխարինում է ձեր փաթեթը։ Վերբեռնեք կարգավորումը և կրկին թվարկեք վկայականները։ Որոշ տարբերակներ ուղարկում են նաև փաթեթ՝ շղթան տերևի ֆայլի ներսում, բայց CA թղթապանակը տարբերակների և փաթեթների միջև տեղափոխելի դասավորությունն է։
Ստուգեք նաև հաճախորդի կողմից։ Հեռախոսը տեսնում է միայն այն, ինչ փոխանակումը տարել է, ուստի 2-րդ մակարդակի դեմոնի մատյանը պետք է ցույց տա միջանկյալը ուղարկված վկայականների մեջ։ Եթե մատյանը ցույց է տալիս, և հեռախոսը դեռ ձախողվում է, դուք աղյուսակի այլ շարքում եք, և CA ֆայլերի փոփոխությունը արդյունքը չի փոխի։
Եթե շղթան ամբողջական է, դադարեք խմբագրել վկայականները
Ինքնության խափանումը VPN պրոֆիլի անվան և վկայականի անվան անհամապատասխանությունն է։ Android-ը համեմատում է ձեր կարգավորած սերվերի ինքնությունը այն վկայականի հետ, որը վավերացրել է, ուստի պրոֆիլը, որը մատնանշում է հասցե, մինչ վկայականը նշում է հոսթի անուն, կամ պրոֆիլը, որի հոսթի անունը վկայականը չի ծածկում, ձախողվում է շղթայի հաջող վավերացումից հետո։ Ուղղեք սխալ կողմը և պահեք պրոֆիլն ու վկայականը համահունչ։
Ալգորիթմի խափանումը երևում է վավեր շղթայի և համընկնող անվան դեպքում։ Android տարբերակները տարբերվում են նրանով, թե որ բանալու տեսակներն ու ստորագրության սխեմաներն են ընդունում, և պրոֆիլի տեսակն ինքն է սահմանափակում ընտրանքները։ Եթե դարպասը օգտագործում է ավելի հին կամ անսովոր համակցություն, համեմատեք այն սարքի աջակցության հետ, նախքան վկայականը վնասված համարելը։ Մատյանը ցույց կտա, որ ձեռքսեղմումն ավելի առաջ է գնում, քան վստահության դեպքում, ինչը նշան է, որ շղթան այլևս խնդիրը չէ։
Չտեղադրեք միջանկյալը որպես օգտվողի արմատ հեռախոսում
Բացակայող միջանկյալը հեռախոսում որպես օգտվողի վկայական տեղադրելը վերացնում է նախազգուշացումը և փոխում հեռախոսի վստահության մոդելը յուրաքանչյուր հավելվածի համար, որն ընդունում է օգտվողի տեղադրած արմատներ։ Այն նաև թաքցնում է առաքման թերություն, որը կհարվածի հաջորդ հաճախորդին, և թողնում է դարպասին ուղարկել թերի շղթա յուրաքանչյուր ապագա սարքի։ Կայուն վերանորոգումը սերվերում է, մեկ անգամ, բոլոր հաճախորդների համար։
Առանձին պահեք երեք որոշումները փոփոխությունների մատյանում. որ վկայականներն են փոխանցվել, որ ինքնությունն է համեմատվել և որ ալգորիթմն է պայմանավորվվել։ Դարպաս, որը միշտ ուղարկում է իր ամբողջ շղթան, պրոֆիլ, որը ճիշտ է անվանում վկայականը, և բանալու տեսակ, որն աջակցում է նավատորմը՝ երեք փոքր փաստ, և դրանք այս ամբողջ խափանումն են։