strongSwan: кілт түрі, жүктеуші және қате backend

PEM — бұл контейнер, кілт түрі емес. Сертификаттың ашық кілтін жеке кілтпен салыстырыңыз, содан кейін оны шынымен оқитын backend арқылы жүктеңіз.

Файл кеңейтімдері кілт алгоритмдерін анықтамайды, және .pem қабығы RSA немесе ECDSA материалын қамтуы мүмкін. PEM байттардың қалай оралғанын сипаттайды, ал RSA мен ECDSA әртүрлі алгоритмдерді білдіреді, ал PKCS12 файлы үшінші нәрсе. strongSwan тіркелгі деректерін плагиндер мен конфигурациялық backend арқылы жүктейді, сондықтан сертификат тізімде көрінуі мүмкін, бірақ жеке кілт ешқашан қолданылатын болмайды. Кез келген құпияны өңдеуден бұрын бұл қабаттарды ажыратыңыз.

Кодтау, алгоритм және қаптау — үш қабат

Кілт файлының кодтауы, алгоритмі және көбінесе контейнері болады. PEM — таныс base64 қабығы; DER — оның бинарлық баламасы; PKCS12 сертификатты кілтімен және тізбегімен біріктіреді. Сертификаттар тізбегінің файлы тағы бір контейнер және әдетте онда жеке кілт мүлдем болмайды. Бұл белгілердің ешқайсысы ішіндегі материалдың RSA немесе ECDSA екенін айтпайды.

Алгоритмді объектінің өзінен оқыңыз. Провайдердің маркетингтік атауы немесе файл кеңейтімі дәлел емес, өйткені бір эмитент әртүрлі кілт түрлерін бере алады.

Жүктеушіні кінәламас бұрын ашық кілттерді салыстырыңыз

Жүктелген сертификат сертификаттың талданғанын дәлелдейді, оның жеке кілтінің бар екенін немесе жарамдылығын емес. Ашық кілтті сертификаттан және ұсынылған жеке кілттен шығарып, содан кейін екі дайджесті салыстырыңыз. Егер қандай да бір шығару сәтсіз болса, сонда тоқтаңыз, өйткені бос шығыстың дайджесі ештеңе дәлелдемейді. Сәйкес дайджесттер жұптың бірге екенін дәлелдейді, ал сертификаттың жұмысқа жарамдылығы туралы басқа ештеңе емес.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Екінші команда машинаңыздағы жеке материалға қол тигізеді, бірақ тек ашық жартысын шығарады. Солай қалдырыңыз және жеке кілтті билетке ешқашан қоймаңыз. Егер кілт шифрланған болса, қолдау көрсетілген құралға құпиясөзді сұрауға рұқсат етіңіз, оны процестер тізімі аша алатын пәрмен жолына қоюдың орнына.

Ескі ipsec.secrets немесе swanctl тіркелгі деректері

strongSwan-да жиі қолданылатын екі тіркелгі деректері жолы бар. Ескі starter стегі түрге тән жазбаларды мынадан оқиды: ipsec.secrets, және әр жазба материал үшін дұрыс түрді көрсетуі керек. swanctl және vici стегі кілттерді өзінің тіркелгі деректері қалтасынан өз конфигурациясы арқылы жүктейді. Жұмыс істеп тұрған backend оқымайтын файлды өңдеу ештеңені өзгертпейді.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Қай backend шын мәнінде жұмыс істеп тұрғанын анықтаңыз, содан кейін кілтті сол backend қарайтын жерге қойыңыз. strongSwan 5.9 ескі нұсқаулығы түрге тән құпия жазбаларын анықтайды және бұл swanctl құжаттамасы емес. Екеуін араластыру әкімші сенімді деп санайтын файлды елемейтін daemon жасайды. Қате туралы хабарламайтын қайта жүктеу конфигурацияның талданғанын ғана білдіреді.

Жүктеу оқиғасын және аутентификация нәтижесін оқыңыз

Бақыланатын қайта жүктеуден кейін нақты кілт үшін daemon-ның өз жүктеу шығысын оқыңыз. Күй демпіне енгізілген сертификат жеке кілттің онымен сәйкестендірілгенін көрсетпейді.

Егер клиент әлі де сәтсіз болса, сервер оқиғасы мен клиент қатесін бөлек ұстаңыз. Тізбекті тексеру, сәйкестікті салыстыру және әдістер үйлесімділігі өз дәлелдері бар кейінгі сұрақтар. Нәтижені кілттің нақты жолымен және салыстырған дайджестіңізбен жазып қойыңыз, әйтпесе келесі ауысым сол қайта жүктеуді қайталайды. CA-ны ауыстыру жүктеуші сәйкессіздігіне бірінші жауап емес.

Қатысты мақалалар