IKEv2-де екі қолтаңба бар: сертификат және IKE_AUTH
CA сертификатқа қол қояды, ал теңдес өзінің IKE_AUTH алмасуына өз схемасымен қол қояды. Әрқайсысын өз өрісінен оқып, екеуін де жазып алыңыз.
Сіздің тикетіңіз сертификат SHA-256 деп тұр, бірақ шлюз журналы басқа қолтаңба алгоритмін атайды, ал біреу CA-ны қайта шығаруға өтінімді әлдеқашан дайындап қойыпты. Сол өтінім әрі қарай кетпей тұрып, екі қолтаңбаны ажыратыңыз: біреуі — шығарушының ашық кілтке қойған мөрі, екіншісі — IKE_AUTH кезінде теңдестің сәйкес жеке кілтке ие екенін дәлелдеуі. Оларды әртүрлі компоненттер таңдайды және олардың өзгеше болуына рұқсат етіледі. Әрқайсысын өзі тұратын жерден оқу екі пәрмен мен бір кестені қажет етеді.
Шығарушының қолтаңбасын сертификаттан оқыңыз
CA өз қолтаңбасын сәйкестік пен кілт арасындағы байланысқа қояды. Бұл қолтаңба CA-ның шығару кезінде не жасағанын тіркейді, субъектінің қосылғанда не істейтінін емес, сондықтан оның алгоритмі CA-ның өз хэш пен кілт таңдауын сипаттайды. Бір типтегі субъект кілті басқа типтегі CA кілтінің астында ешқандай қайшылықсыз тұра алады, ал CA кілтін айналдыру ақау емес, күнделікті іс. Екі өрісті оқыңыз, сонда тізімнің жартысы қолыңызда:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Екі белгіні бөлек жазба ретінде жазыңыз. Біріншісі CA-ны, екіншісі субъектінің кілтін сипаттайды, және ешқайсысы онлайн қолтаңбаны болжай алмайды.
Онлайн қолтаңбаны IKE алмасуынан оқыңыз
Аутентификация кезінде әр теңдес алмасу деректеріне өзінің жеке кілтімен қол қояды, ал қарсы тарап бұл дәлелді сертификаттың сәйкестігіне, сенім тізбегіне және саясатына қарсы тексереді. RSA үшін толтыру мен хэш осы онлайн схемаға жатады, сондықтан ұзынырақ кілт немесе жаңа SHA-256 сертификаты аутентификация қолтаңбасы үшін RSA-PSS-ті өздігінен таңдай алмайды. Келісілген әдіс демон журналында немесе оның қосылымдар тізімінде көрінеді, сертификатта ешқашан емес. Әр тараптан неге келіскенін сұраңыз, себебі екі бағыт өзгеше болуы мүмкін.
ipsec statusall | grep -i "auth\|proposal"Бір тарап екіншісі жасай алмайтын схеманы атағанда, сіз тикет туралы болған сәйкессіздікті таптыңыз. CA-ны қайта шығару бұған дұрыс емес жөндеу, себебі сәтсіз болған нәрсе сертификат емес еді.
RFC 7427 нені өзгертеді, нені өзгертпейді
Бастапқы әдістер RFC 7296-да әр алгоритм тіркесімі бойынша нөмірленген. Кейінгі RFC 7427 қолтаңба кеңейтімі қолтаңба хэшін қолдауды сигналдаумен жалпы Digital Signature әдісін қосады, сондықтан жаңа хэшке өз әдіс нөмірі қажет емес. Бұл келісілетін нәрсе, болжанатын емес: теңдес кеңейтімді кітапханасы бірдей сертификаттарды талдай алатындықтан алмайды, ал тек бастапқы әдістерді іске асыратын теңдес шлюзді солардың біреуін ұстауға мәжбүр етеді. Бұл үйлесімділік құны бар саяси айырбас, ақау емес.
Қолдау әр бағыт пен әр қосылым бойынша, сондықтан отбасы деңгейіндегі тұжырымға сенудің орнына алдыңыздағы құрылымды сынаңыз. Үш жыл бұрын жазылған мүмкіндіктер матрицасы үш жылдық құрылымдарды сипаттайды.
Тізімге төрт жол қосыңыз
Дауды бітіретін жазбаның төрт жолы бар, әрқайсысы басқа жерден оқылған және әрқайсысын басқа адам өзгерткен. Бір нәрсе шешпей тұрып оны толтырыңыз, себебі дәл қате жол түзетуді таңдайды.
| Нысан | Қайдан оқылады | Кім өзгертеді |
|---|---|---|
| сертификат шығарушысының қолтаңбасы | сертификаттың Signature Algorithm өрісі | CA операторы, шығару кезінде |
| субъектінің ашық кілті | сертификаттың Public Key Algorithm өрісі | субъект кілтін жасайтын адам |
| IKE аутентификация схемасы | демон журналы немесе қосылымдар тізімі, auth және signature-hash хабарламасы | екі теңдестегі IKE профилі |
| IKE және ESP қорғау алгоритмдері | қосылымның ұсыныстар тізімі | IPsec профилі, бағыт бойынша |
Әр жол өзінің үйлесімділік салдарын алып жүреді. ESP шифрының өзгеруі шығарушының қолтаңбасын таңдамайды, ал CA тексеруін босаңсыту теңдестер ешқашан келіспеген онлайн әдісті қоспайды. Тикет қолтаңба сәйкессіздігін алға тартқанда, шын мәнінде қате жол ешқашан дерлік бірінші болмайды.
Ескі жағдайды PKI-ді әлсіретпей шешіңіз
Ескілеу теңдес тек сіздің саясатыңыз енді рұқсат етпейтін схеманы ұсынуы мүмкін. Нұсқалар — уақытпен шектелген үйлесімділік ерекшелігі, клиентті жаңарту немесе тек сол теңдес үшін басқа аутентификация тәртібі. PKI-ді әлсізірек сертификат қолтаңбасының айналасында қайта салу онлайн алмасудағы шектеуді түзетпейді және сол CA-ға сенетін қалған барлық қызметті әлсіретеді. Қай жолды өзгерткеніңізді және ерекшелік қашан бітетінін жазыңыз.
Содан кейін екі оқуды қайтадан жоғарыдан орындаңыз, себебі бір жолдағы өзгеріс екіншісінде келісілетін нәрсені жылжытуы мүмкін. Бүкіл тізім екі пәрмен мен бір кесте, және теңдес маршрутизатор, ноутбук немесе құрылғы болса да жұмыс бірдей.