strongSwan: lyklategund, hleðslutæki og rangt backend

PEM er gámur, ekki lyklategund. Berðu saman opinbera lykilinn í skírteininu og þann einkaaðila og hlattu síðan inn í gegnum backend sem les hann í raun.

Skráarendingar auðkenna ekki lyklaalgrímur, og .pem-umbúðir geta geymt RSA- eða ECDSA-efni. PEM lýsir því hvernig bæti eru vafin, en RSA og ECDSA nefna mismunandi algrím, og PKCS12-skrá er þriðja atriðið. strongSwan hleður inn skilríkjum í gegnum viðbætur og stillingabackend, þannig að skírteini getur birst í lista án þess að einkalykillinn verði nokkurn tíma nothæfur. Aðgreindu þessi lög áður en þú breytir einhverju leyndarmáli.

Kóðun, algrím og pökkun eru þrjú lög

Lykilskrá hefur kóðun, algrím og oft gám. PEM er kunnuglegu base64-umbúðirnar; DER er tvíundarhluti þeirra; PKCS12 sameinar skírteini með lyklinum og keðjunni. Skírteinakeðjuskrá er enn einn gámurinn og inniheldur venjulega engan einkalykil. Ekkert þessara merkja segir til um hvort efnið inni sé RSA eða ECDSA.

Lestu algrímið úr hlutnum sjálfum. Markaðsnafn veitanda eða skráarending er ekki sönnun, því sami útgefandi getur gefið út mismunandi lyklategundir.

Berðu saman opinbera lykla áður en þú kennir hleðslutækinu um

Skírteini sem hleðst inn sannar að skírteinið hafi verið þáttað, ekki að einkalykillinn sé til staðar eða nothæfur. Leiddu út opinbera lykilinn úr skírteininu og úr fyrirhuguðum einkalykli og berðu síðan saman tvo tætin. Ef einhver útdráttur mistekst skaltu stöðva þar, því tæti á tóma úttak sannar ekkert. Sammiða tæti sanna að parið eigi saman, og ekkert meira um hvort skírteinið henti verkefninu.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Seinna skipunin snertir einkaefni á vélinni þinni en gefur aðeins frá sér opinbera helminginn. Haltu því þannig og límdu aldrei einkalykil í miða. Ef lykillinn er dulkóðaður skaltu láta studd tól biðja um aðgangsorðið í stað þess að setja það á skipanalínu þar sem ferlalistinn getur afhjúpað það.

Eldri ipsec.secrets eða swanctl-skilríki

strongSwan hefur tvo algenga skilríkjaleiðir. Eldri starter-stakkurinn les tegundarsértækar færslur úr ipsec.secrets, og hver færsla verður að nefna rétta tegund fyrir efnið. swanctl- og vici-stakkurinn hleður lyklum úr eigin skilríkjamöppu í gegnum eigin stillingar. Að breyta skránni sem keyrandi backend les ekki breytir engu.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Finndu út hvaða backend er í raun í gangi og settu lykilinn síðan þar sem sá backend leitar. eldri strongSwan 5.9 handbók skilgreinir tegundarsértæku leyndarmálsfærslurnar, og þetta er ekki swanctl-skjölun. Að blanda þessu tvennu framleiðir daemon sem hunsar skrá sem stjórnandinn telur gildandi. Endurhleðsla sem tilkynnir enga villu þýðir aðeins að stillingin hafi verið þáttuð.

Lestu hleðsluatburðinn og niðurstöðu auðkenningar

Eftir stýrða endurhleðslu skaltu lesa eigin hleðsluúttak daemonsins fyrir tiltekinn lykil. Skírteini sem er skráð í stöðuafriti sýnir ekki að einkalykillinn hafi verið paraður við það.

Ef biðlari mistekst enn skaltu halda atburði netþjónsins og villu biðlarans aðskildum. Keðjuvalidering, auðkennissamsvörun og samhæfni aðferða eru síðari spurningar með eigin sönnunargögnum. Skrifaðu niðurstöðuna niður með nákvæmri lykilslóð og tætinu sem þú bærist saman, því næsta vakt mun annars endurtaka sömu endurhleðslu. Að skipta um CA er ekki fyrsta viðbrögðin við misræmi hleðslutækis.

Tengdir greinar