strongSwan send_cert: IKE сертификаты қашан жіберіледі

send_cert peer өз сертификатын жібере ме, жоқ па, соны анықтайды, ал send_certreq қарсы тараптан оны сұрайды. Қабылдаушының сенімін өзгерту алдында журналдарды тексеріңіз.

Шлюздер сертификатқа қатысты аутентификация қателерін журналға жазады, ал бірінші ой қабылдаушыға тағы бір CA қосу болады. Бұл сертификат келіп, қабылданбады дегенді білдіреді. Екінші мүмкіндік — ол ешқашан жіберілмеген, мұны жіберушінің қосылым саясаты шешеді. Сенімді өзгерту алдында екі жағдайдың қайсысы болғанын анықтаңыз.

send_cert шын мәнінде нені басқарады

Сертификатпен аутентификация қарсы тараптың соңғы нысан сертификаты IKE алмасуы арқылы немесе алдын ала дайындау арқылы жетуін талап етеді. swanctl ішінде қосылым параметрі send_cert бұл шеткі нүктенің өз сертификат жүктемесін қосатынын анықтайды: ешқашан, әрқашан немесе ifasked. Әдепкі ifasked оны peer тарапынан келген сертификат сұранысына жауап ретінде жібереді. Сертификат сұрау — жеке параметр, өйткені қарсы тараптан оның сертификатын сұрау өзіңдікін ұсынумен бірдей емес.

Ескі ipsec.conf орналастырулары leftsendcert және rightsendcert қолданды, бұл атаулар жергілікті және қашықтағы рөлдерге сәйкес келеді, swanctl-ге тікелей емес.

Қосылымды өзгерту алдында бір әрекетті оқыңыз

Бір бақыланатын әрекет бойынша диагностика жасаңыз, сертификаттар қатысты деген жалпы әсер бойынша емес. Саясатты да, белсенді ассоциацияны да қарауға болады.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Қосылымдар тізімі конфигурацияланған send_cert мәнін көрсетеді, ал SA тізімі қандай қосылымдар шын мәнінде көтерілгенін көрсетеді. Журнал келіссөз мәліметтерін қосады: сертификат сұранысы алынды ма және сертификат жүктемесі шықты ма. Жалпы аутентификация қатесі жеткізу мәселесін көрсетпейді, сондықтан қорытынды жасамас бұрын нақты алмасуды табыңыз. Әрекеттің уақыт белгісін жазып алыңыз, журнал терезесі бүкіл қол алысуды қамтитындай.

Қабылдаушының сенімі — жеке шешім

Жеткізу мен сенім — әртүрлі қасиеттер, біреуін түзету екіншісін түзетпейді. Қабылдаушыда көзделген сенім зәкірі болуы, жарамды тізбек алуы және күтілетін peer идентификациясына сәйкес келуі керек. Өз аралық сертификатынсыз келген соңғы нысан сертификаты қатаң тізбек тексерісінен әлі де өтпейді. Керісінше, CA орнату peer-ді өз сертификатын мүлде жіберуге мәжбүрлемейді.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Тексеру сертификатты қай шығарушы қол қойғанын және қашан мерзімі бітетінін көрсетеді, қабылдаушының зәкірі соған сәйкес болуы керек. Орналастыруға тиесілі шығарушы CA-ға сеніңіз, тізбектегі әрбір аралық сертификатқа емес, өйткені әрбір аралық сертификатты түбірге көтеру сенімді бір peer-ден әлдеқайда кеңейтеді. Идентификацияны тексеруді қосулы ұстаңыз, өйткені тек тексеру өшірілгенде өтетін қосылым — түзету емес. Тізбек толық емес жерде дайындауды түзетіңіз, жіберушінің саясатын емес.

Жіберушіні тек дәлелдермен өзгертіңіз

Журнал сертификаттың ешқашан жіберілмегенін, ал қабылдаушы оны шынымен сұрағанын көрсетсе, send_cert үшін always мәні сол қосылым үшін негізді өзгеріс болып табылады. Оны swanctl конфигурациясында қолданыңыз, қосылымдарды қайта жүктеңіз және бар SA-ны қайта пайдаланудың орнына жаңа сеанс орнатыңыз. Сертификат жүктемесі енді пайда болатынын және қабылдаушы оны көзделген зәкірге қарсы қабылдайтынын растаңыз. Ештеңе өзгермесе, қате сенім жағында болған және жіберуші параметрі себеп болмаған.

Бақыланған алмасуды, зәкірді және одан шыққан тексеруді өзгерістер жазбасына жазыңыз. Осы терминдермен сипаттауға келмейтін сертификат түзетуі — кездейсоқтық.

Қатысты мақалалар