strongSwan send_cert. երբ է ուղարկվում IKE վկայականը

Գեյթվեյները մատյանում գրանցում են վկայականների հետ կապված նույնականացման սխալները, և առաջին միտքը ստացողին ևս մեկ CA ավելացնելն է։ Դա ենթադրում է, որ վկայականը հասել է և մերժվել։ Մյուս հնարավորությունն այն է, որ այն երբեք չի ուղարկվել, և դա որոշում է ուղարկողի կապի քաղաքականությունը։ Նախքան վստահությունը փոխելը պարզեք, թե այդ երկուսից որն է տեղի ունեցել։

Ինչ է իրականում կառավարում send_cert-ը

Վկայականով նույնականացումը պահանջում է, որ մյուս կողմի վերջնական օբյեկտի վկայականը հասնի նրան IKE փոխանակման կամ նախնական նախապատրաստման միջոցով։ swanctl-ում կապի պարամետր send_cert-ը որոշում է՝ արդյոք այս վերջնակետը ներառում է իր վկայականի բեռը՝ երբեք, միշտ կամ ifasked։ Լռելյայն ifasked-ը ուղարկում է այն ի պատասխան peer-ից եկած վկայականի հարցման։ Վկայական հարցնելը առանձին պարամետր է, քանի որ մյուս կողմից նրա վկայականը խնդրելը նույնը չէ, ինչ սեփականը առաջարկելը։

Ավելի հին ipsec.conf տեղակայումները օգտագործում էին leftsendcert և rightsendcert, և այդ անունները համապատասխանում են տեղական և հեռավոր դերերին, այլ ոչ թե ուղղակիորեն swanctl-ին։

Կարդացեք մեկ փորձ՝ նախքան կապը փոխելը

Ախտորոշեք մեկ վերահսկվող փորձի հիման վրա, այլ ոչ թե այն ընդհանուր տպավորության, թե ներգրավված են վկայականներ։ Հնարավոր է զննել և՛ քաղաքականությունը, և՛ ակտիվ ասոցիացիան։

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Կապերի ցանկը ցույց է տալիս կազմաձևված send_cert արժեքը, իսկ SA-ների ցանկը՝ թե որ կապերն են իրականում բարձրացել։ Մատյանը ավելացնում է բանակցության մանրամասներ՝ արդյոք ստացվել է վկայականի հարցում և արդյոք դուրս է գնացել վկայականի բեռը։ Ընդհանուր նույնականացման սխալը չի նշում առաքման խնդիր, ուստի նախքան որևէ եզրակացություն գտեք կոնկրետ փոխանակումը։ Գրանցեք փորձի ժամանակային նշանը, որպեսզի մատյանի պատուհանը ծածկի ամբողջ ձեռքսեղմումը։

Ստացողի վստահությունը առանձին որոշում է

Առաքումը և վստահությունը տարբեր հատկություններ են, և մեկի ուղղումը չի ուղղում մյուսը։ Ստացողը պետք է ունենա նախատեսված վստահության խարիսխ, ստանա օգտագործելի շղթա և համապատասխանի peer-ի սպասվող ինքնությանը։ Վերջնական օբյեկտի վկայականը, որը գալիս է առանց իր միջանկյալ վկայականի, այնուամենայնիվ ձախողվում է շղթայի խիստ ստուգման ժամանակ։ Ընդհակառակը, CA-ի տեղադրումը ամենևին չի պարտադրում peer-ին ուղարկել իր վկայականը։

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Ստուգումը ցույց է տալիս, թե որ թողարկողն է ստորագրել վկայականը և երբ է այն լրանում, և ստացողի խարիսխը պետք է համապատասխանի դրան։ Վստահեք տեղակայմանը պատկանող թողարկող CA-ին, այլ ոչ թե շղթայի յուրաքանչյուր միջանկյալ վկայականի, որովհետև յուրաքանչյուր միջանկյալը արմատի բարձրացնելը վստահությունը տարածում է մեկ peer-ից շատ ավելի լայն։ Թողեք ինքնության ստուգումը միացված, որովհետև կապը, որը հաջողվում է միայն անջատված վավերացմամբ, ուղղում չէ։ Այնտեղ, որտեղ շղթան թերի է, ուղղեք նախապատրաստումը, այլ ոչ թե ուղարկողի քաղաքականությունը։

Փոխեք ուղարկողին միայն ապացույցներով

Երբ մատյանը ցույց է տալիս, որ վկայականը երբեք չի ուղարկվել, իսկ ստացողը իսկապես պահանջել է այն, send_cert-ի always արժեքը այդ կապի համար հիմնավորված փոփոխություն է։ Կիրառեք այն swanctl կազմաձևում, վերաբեռնեք կապերը և հաստատեք նոր նստաշրջան՝ գործող SA-ն վերաօգտագործելու փոխարեն։ Հաստատեք, որ վկայականի բեռը այժմ հայտնվում է, և որ ստացողը ընդունում է այն նախատեսված խարիսխի նկատմամբ։ Եթե ոչինչ չի փոխվում, սխալը դարձյալ վստահության կողմում էր, և ուղարկողի կարգավորումը պատճառ չէր։

Գրանցեք դիտարկված փոխանակումը, խարիսխը և դրանից բխող ստուգումը փոփոխությունների մատյանում։ Վկայականի ուղղումը, որը հնարավոր չէ նկարագրել այդ տերմիններով, պատահականություն է։