IKEv2-ն ունի երկու ստորագրություն՝ վկայագիր և IKE_AUTH
CA-ն ստորագրում է վկայագիրը, իսկ գործընկերը ստորագրում է իր IKE_AUTH փոխանակումը սեփական սխեմայով։ Կարդացեք յուրաքանչյուրը իր դաշտից, ապա գրանցեք երկուսը։
Ձեր տոմսն ասում է, որ վկայագիրը SHA-256 է, մինչդեռ դարպասի մատյանը նշում է ստորագրման այլ ալգորիթմ, և ինչ-որ մեկն արդեն կազմել է CA-ն վերընթերցելու հայտ։ Նախքան այդ հայտը որևէ տեղ գնալը, բաժանեք երկու ստորագրությունները՝ մեկը թողարկողի կնիքն է հրապարակային բանալու վրա, մյուսը՝ գործընկերի ապացույցը, որ IKE_AUTH-ի ընթացքում տիրապետում է համապատասխան գաղտնի բանալուն։ Տարբեր բաղադրիչներ են դրանք ընտրում, և թույլատրվում է, որ դրանք տարբերվեն։ Յուրաքանչյուրը կարդալ այնտեղ, որտեղ ապրում է, պահանջում է երկու հրահանգ և մեկ աղյուսակ։
Կարդացեք թողարկողի ստորագրությունը վկայագրից
CA-ն իր ստորագրությունը դնում է ինքնության և բանալու միջև կապի վրա։ Այդ ստորագրությունը գրանցում է, թե ինչ արեց CA-ն թողարկման պահին, ոչ թե ինչ կանի սուբյեկտը միանալիս, ուստի դրա ալգորիթմը նկարագրում է CA-ի սեփական հեշի և բանալու ընտրությունը։ Մեկ տեսակի սուբյեկտի բանալին կարող է լինել այլ տեսակի CA բանալու տակ առանց որևէ հակասության, և CA բանալու պտույտը սովորույթ է, ոչ թե խափանում։ Կարդացեք երկու դաշտերը և կունենաք ցանկի կեսը՝
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Գրեք երկու պիտակներն էլ որպես առանձին գրառումներ։ Առաջինը նկարագրում է CA-ն, երկրորդը՝ սուբյեկտի բանալին, և ոչ մեկը չի կանխագուշակում առցանց ստորագրությունը։
Կարդացեք առցանց ստորագրությունը IKE փոխանակումից
Նույնականացման ընթացքում յուրաքանչյուր գործընկեր ստորագրում է փոխանակման տվյալները իր գաղտնի բանալով, և հակառակ կողմը ստուգում է այդ ապացույցը վկայագրի ինքնության, վստահության շղթայի և քաղաքականության դեմ։ RSA-ում լցոնումը և հեշը պատկանում են այս առցանց սխեմային, ուստի ավելի երկար բանալին կամ նոր SHA-256 վկայագիրը ինքնուրույն չի կարող ընտրել RSA-PSS նույնականացման ստորագրության համար։ Բանակցված մեթոդը երևում է դեմոնի մատյանում կամ նրա կապերի ցանկում, երբեք վկայագրում։ Հարցրեք յուրաքանչյուր կողմին, թե ինչի շուրջ է բանակցել, որովհետև երկու ուղղությունները կարող են տարբերվել։
ipsec statusall | grep -i "auth\|proposal"Երբ մի կողմը նշում է սխեմա, որը մյուսը չի կարող արտադրել, դուք գտել եք այն անհամապատասխանությունը, որի մասին էր տոմսը։ CA-ն վերընթերցելը դրա համար սխալ վերանորոգում է, որովհետև վկայագիրը երբեք չէր ձախողվածը։
Ինչ է փոխում RFC 7427-ը և ինչ ոչ
Սկզբնական մեթոդները համարակալված են ըստ ալգորիթմների համակցության RFC 7296-ում։ Ավելի ուշ RFC 7427 ստորագրության ընդլայնումը ավելացնում է ընդհանուր Digital Signature մեթոդ ստորագրության հեշի աջակցության ազդանշանով, այնպես որ նոր հեշն այլևս սեփական մեթոդի համար չի պահանջում։ Այն բանակցվում է, ոչ ենթադրվում՝ գործընկերը չի ստանում ընդլայնումը, որովհետև նրա գրադարանը կարող է վերլուծել նույն վկայագրերը, և միայն սկզբնական մեթոդներն իրականացնող գործընկերը ստիպում է դարպասին պահել դրանցից մեկը։ Դա քաղաքականության փոխանակում է համատեղելիության ծախսով, ոչ թե արատ։
Աջակցությունը ըստ ուղղության և ըստ կապի է, ուստի փորձարկեք ձեր առջև եղած կառուցվածքը՝ փոխարենը չվստահելով ընտանիքի մակարդակի պնդմանը։ Երեք տարի առաջ գրված հնարավորությունների մատրիցը նկարագրում է երեք տարվա վաղեմության կառուցվածքներ։
Չորս տող դրեք ցանկի մեջ
Վեճը վերջացնող գրառումն ունի չորս տող, յուրաքանչյուրը կարդացված տարբեր տեղից և յուրաքանչյուրը փոփոխված տարբեր մարդու կողմից։ Լրացրեք այն նախքան որևէ բան որոշելը, որովհետև հենց սխալ տողն է ընտրում վերանորոգումը։
| Օբյեկտ | Որտեղից կարդալ | Ով է փոխում |
|---|---|---|
| վկայագրի թողարկողի ստորագրությունը | վկայագրի Signature Algorithm դաշտը | CA-ի օպերատորը՝ թողարկման պահին |
| սուբյեկտի հրապարակային բանալին | վկայագրի Public Key Algorithm դաշտը | ով ստեղծում է սուբյեկտի բանալին |
| IKE նույնականացման սխեման | դեմոնի մատյան կամ կապերի ցանկ, auth և signature-hash ծանուցում | IKE պրոֆիլը երկու գործընկերների վրա |
| IKE և ESP պաշտպանության ալգորիթմները | կապի առաջարկների ցանկը | IPsec պրոֆիլը՝ ըստ ուղղության |
Յուրաքանչյուր տող կրում է իր համատեղելիության հետևանքը։ ESP ծածկագրի փոփոխությունը չի ընտրում թողարկողի ստորագրությունը, և CA-ի ստուգման թուլացումը չի ավելացնում առցանց մեթոդ, որի շուրջ գործընկերները երբեք չեն բանակցել։ Երբ տոմսը պնդում է ստորագրության անհամապատասխանություն, իրոք սխալ տողը գրեթե երբեք առաջինը չէ։
Լուծեք հին դեպքը՝ չթուլացնելով PKI-ն
Ավելի հին գործընկերը կարող է առաջարկել միայն մի սխեմա, որը ձեր քաղաքականությունն այլևս չի թույլատրում։ Ընտրություններն են ժամանակով սահմանափակ համատեղելիության բացառություն, հաճախորդի թարմացում կամ միայն այդ գործընկերի համար այլ նույնականացման կարգավորում։ Ավելի թույլ վկայագրի ստորագրության շուրջ PKI-ն վերակառուցելը չի շտկում առցանց փոխանակման սահմանափակումը և թուլացնում է նույն CA-ին վստահող մնացած բոլոր ծառայությունները։ Գրանցեք, թե որ տողն եք փոխել և երբ է ավարտվում բացառությունը։
Ապա նորից գործարկեք երկու ընթերցումները վերևից, որովհետև մի տողի փոփոխությունը կարող է տեղաշարժել այն, ինչի շուրջ բանակցվում է մյուսում։ Ամբողջ ցանկը երկու հրահանգ և մեկ աղյուսակ է, և նույն աշխատանքն է, անկախ նրանից՝ գործընկերը երթուղիչ է, նոթբուք թե սարք։