IKEv2 traustsvilla á Android: sendu millistig-CA, ekki rót
Síminn hafnar gáttinni því keðjan sem hann fékk endar of fljótt. Ákveddu: sendu millistigið, lagaðu auðkennið eða breyttu lyklagerð.
Síminn neitar að tengjast og prentar No trusted RSA public key found for vpn.example.net, á meðan sama gáttarskírteinið virkar frá fartölvu á sama neti. Freistandi skrefið er að gefa skírteinið út aftur. Áður en þú gerir það, finndu út hver af þremur bilunum þú hefur, því aðeins ein þeirra snýst um innihald skírteinisins.
Þrjár bilanir bak við ein skilaboð
Android byggir keðju frá gáttarskírteininu að CA sem valið er í VPN-sniðinu og ber síðan saman netþjónsnafnið við sniðið. Tilkynningin greinir frá niðurstöðunni, ekki stiginu. Traustsbila þýðir að ekki tókst að ljúka keðjunni með skírteinunum sem afhent voru í skiptunum; auðkennisbila að keðjan er gild en nafnið passar ekki; reikniritbila að tækið eða sniðið samþykkir ekki lyklagerðina eða undirskriftina.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
Ákveddu með sönnunargögnum í stað þess að prófa lagfæringar í röð. Ein tilraun á logstigi 2 á daemonnum segir þér í hvaða röð þú ert, og hún kostar minna en að gefa út skírteini sem var aldrei rangt.
Ákveddu fyrst: kom öll keðjan?
strongSwan sendir skírteinið sem er stillt fyrir þá tengingu, og milliskírteini eru sérstök skilríki. Þau verða að vera hlaðin sem CA-skírteini áður en daemoninn getur sett þau í farm, svo uppsetning þar sem netþjónsskírteinið er undirritað af millistigi, rótin er traustsakkerið og millistigið lifir aðeins í byggingarmöppu CA gefur nákvæmlega þessa bilun: aðeins blaðið á vírnum og keðjan endar snemma í símanum.
Athugaðu hvað daemoninn hefur með swanctl --list-certs í swanctl-uppsetningu, eða ipsec listcerts með eldri starter. Millistigið á að birtast sem CA-skírteini með rótina fyrir ofan. Ef það vantar hjálpar enginn valkostur biðlarans; ef það er til, farðu á næstu spurningu.
Athugaðu síðan hvort það yrði sent. swanctl.conf tilvísunin lýsir send_cert, sem sjálfgefna gildið ifasked sendir skírteini aðeins þegar mótaðilinn hefur beðið um það, á meðan always sendir alltaf. Gamla jafngildið er leftsendcert=always í ipsec.conf. Stillingin stýrir sendingu, ekki framboði, svo hún getur ekki bætt upp millistig sem daemoninn hlóð aldrei.
Ef keðjan er stutt skaltu hlaða millistiginu þar sem daemoninn leitar
Settu millistigið í CA-möppuna, ekki við hlið blaðsins: /etc/ipsec.d/cacerts fyrir uppsetningu með ipsec.conf, /etc/swanctl/x509ca fyrir swanctl eða slóðina sem pakkinn þinn kemur í staðinn fyrir. Hladdu stillingunni aftur og listaðu skírteinin. Sumar útgáfur senda líka búnt sem inniheldur keðjuna inni í blaðskránni, en CA-mappan er færanlega skipulagið milli útgáfa og pakka.
Athugaðu líka frá biðlarahlið. Síminn sér aðeins það sem skiptin báru, svo loggur daemonins á stigi 2 á að sýna millistigið meðal skírteinanna sem send voru. Ef loggurinn sýnir það og síminn mistekst samt, ertu í annarri röð töflunnar, og stilling CA-skráa breytir ekki niðurstöðunni.
Ef keðjan er heil, hættu að breyta skírteinum
Auðkennisbila er misræmi milli nafnsins í VPN-sniðinu og nafnsins í skírteininu. Android ber saman netþjónsauðkennið sem þú stilltir við skírteinið sem það staðfesti, svo snið sem vísar á tölu á meðan skírteinið nefnir hýsingarnafn, eða snið með hýsingarnafni sem skírteinið nær ekki yfir, mistekst eftir árangursríka keðjustaðfestingu. Lagaðu ranga hlið og haltu sniðinu og skírteininu í samræmi.
Reikniritbila birtist með gildri keðju og passandi nafni. Android-útgáfur eru ólíkar að því hvaða lyklagerðir og undirskriftarkerfi þær samþykkja, og sniðsgerðin sjálf takmarkar valkostina. Ef gáttin notar eldri eða óvenjulega samsetningu skaltu bera hana saman við það sem tækið styður áður en þú gerir ráð fyrir að skírteinið sé skemmt. Loggurinn mun sýna að handabandið gengur lengra en í trauststilvikinu, sem er merkið um að keðjan sé ekki lengur vandamálið.
Ekki setja millistigið sem notendarót í símann
Að setja vantaða millistigið sem notendaskírteini í símann fær viðvörunina til að hverfa og breytir traustslíkani símans fyrir hvert forrit sem samþykkir rætur sem notandinn setur. Það felur líka afhendingargalla sem mun lenda á næsta biðlara og lætur gáttina senda ófullkomna keðju til hvers framtíðartækis. Varanlega lagfæringin er á netþjóninum, einu sinni, fyrir alla biðlara.
Haltu þremur ákvörðunum aðskildum í breytingaskránni: hvaða skírteini voru flutt, hvaða auðkenni var borið saman og hvaða reiknirit var samið um. Gátt sem sendir alltaf heila keðju, snið sem nefnir skírteinið rétt og lyklagerð sem flotinn styður eru þrjár litlar staðreyndir, og þær eru öll þessi bilun.