strongSwan send_cert: hvenær IKE-vottorðið er sent

Gáttir skrá vottorðstengda auðkenningarvillu, og fyrsta viðbragðið er að bæta enn einu CA við viðtakandann. Það gerir ráð fyrir að vottorðið hafi borist og verið hafnað. Hinn möguleikinn er að það hafi aldrei verið sent, og það ræðst af tengistefnu sendandans. Finndu út hvort þessara tveggja átti sér stað áður en þú breytir traustinu.

Hvað send_cert stjórnar í raun

Vottorðsauðkenning krefst þess að endapunktsvottorð jafningsins berist hinum megin í gegnum IKE-skiptin eða í gegnum fyrri uppsetningu. Í swanctl stjórnar tengistillingin send_cert hvort þessi endapunktur hafi vottorðsbyrði sína með: aldrei, alltaf eða ifasked. Sjálfgefið ifasked sendir það sem svar við vottorðsbeiðni frá jafninganum. Að biðja um vottorð er sérstök stilling, því að biðja hina hliðina um vottorðið hennar er ekki sama og að bjóða þitt eigið.

Eldri ipsec.conf-uppsetningar notuðu leftsendcert og rightsendcert, og þessi nöfn kortleggjast á staðbundin og fjarlæg hlutverk frekar en beint á swanctl.

Lestu eina tilraun áður en þú breytir tengingunni

Greindu út frá einni stýrðri tilraun, ekki út frá almennri tilfinningu um að vottorð eigi hlut að máli. Bæði stefnan og virka samtengingin er hægt að skoða.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Tengilistinn sýnir stillta gildið send_cert, og SA-listinn sýnir hvaða tengingar komu í raun upp. Annállinn bætir við smáatriðum um samningaviðræðurnar: hvort vottorðsbeiðni barst og hvort vottorðsbyrði fór út. Almenn auðkenningarvilla bendir ekki á afhendingarvandamál, svo leitaðu að viðkomandi skiptum áður en þú ályktar nokkuð. Skráðu tímastimpil tilraunarinnar svo annálsglugginn nái yfir handabandið í heild.

Traust viðtakandans er sérstök ákvörðun

Afhending og traust eru mismunandi eiginleikar, og að laga annan lagar ekki hinn. Viðtakandi verður að hafa fyrirhugaða traustsfestu, taka við nothæfri keðju og passa við vænta auðkenni jafningsins. Endapunktsvottorð sem berst án millivottorðs síns fellur samt á ströngu keðjuprófi. Aftur á móti neyðir uppsetning CA ekki jafningja til að senda vottorðið sitt yfirleitt.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Skoðunin sýnir hvaða útgefandi skrifaði vottorðið undir og hvenær það rennur út, og því verður festa viðtakandans að svara til. Treystu útgefandi CA sem uppsetningin á, ekki hverju millivottorði í keðjunni, því að hækka hvert millivottorð í rót víkkar traust langt út fyrir einn jafningja. Hafðu auðkennisprófun virka, því tenging sem tekst aðeins með slökktri sannprófun er ekki lausn. Þar sem keðjan er ófullkomin, lagaðu uppsetninguna frekar en stefnu sendandans.

Breyttu sendandanum aðeins með sönnunum

Þegar annállinn sýnir að vottorðið var aldrei sent og viðtakandinn bað sannarlega um eitt, er send_cert á always réttmæt breyting fyrir þá tengingu. Beittu henni í swanctl-stillingunni, endurhlaðaðu tengingunum og komdu á nýrri setu í stað þess að endurnýta fyrirliggjandi SA. Staðfestu að vottorðsbyrðin birtist nú og að viðtakandinn samþykki hana gagnvart fyrirhugaðri festu. Ef ekkert breytist var bilunin þó á traustshliðinni og sendandastillingin ekki orsökin.

Skráðu skiptin sem sáust, festuna og sannprófunina sem af þeim leiðir í breytingaskrána. Vottorðslögun sem ekki er hægt að lýsa í þeim hugtökum er tilviljun.