IKEv2 ನಲ್ಲಿ ಎರಡು ಸಹಿಗಳಿವೆ: ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು IKE_AUTH
CA ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಸಹಿ ಹಾಕುತ್ತದೆ, ಮತ್ತು ಪೀರ್ ತನ್ನ IKE_AUTH ವಿನಿಮಯಕ್ಕೆ ತನ್ನದೇ ಯೋಜನೆಯಿಂದ ಸಹಿ ಹಾಕುತ್ತದೆ. ಪ್ರತಿಯೊಂದನ್ನು ಅದರದೇ ಕ್ಷೇತ್ರದಿಂದ ಓದಿ, ನಂತರ ಎರಡನ್ನೂ ದಾಖಲಿಸಿ.
ನಿಮ್ಮ ಟಿಕೆಟ್ ಪ್ರಮಾಣಪತ್ರ SHA-256 ಎಂದು ಹೇಳುತ್ತದೆ, ಆದರೆ ಗೇಟ್ವೇ ಲಾಗ್ ಬೇರೆ ಸಹಿ ಅಲ್ಗಾರಿದಮ್ ಹೆಸರಿಸುತ್ತದೆ, ಮತ್ತು ಯಾರೋ ಈಗಾಗಲೇ CA ಮರುಹೊರಡಿಸುವ ವಿನಂತಿಯನ್ನು ಸಿದ್ಧಪಡಿಸಿದ್ದಾರೆ. ಆ ವಿನಂತಿ ಎಲ್ಲಿಗೂ ಹೋಗುವ ಮೊದಲು ಎರಡು ಸಹಿಗಳನ್ನು ಬೇರ್ಪಡಿಸಿ: ಒಂದು ಸಾರ್ವಜನಿಕ ಕೀಲಿಯ ಮೇಲಿನ ಹೊರಡಿಸುವವರ ಮುದ್ರೆ, ಇನ್ನೊಂದು IKE_AUTH ಸಮಯದಲ್ಲಿ ಪೀರ್ ತನ್ನ ಬಳಿ ಹೊಂದಿಕೆಯಾಗುವ ಖಾಸಗಿ ಕೀಲಿ ಇದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದು. ವಿಭಿನ್ನ ಘಟಕಗಳು ಅವುಗಳನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತವೆ, ಮತ್ತು ಅವು ಭಿನ್ನವಾಗಿರಲು ಅನುಮತಿ ಇದೆ. ಪ್ರತಿಯೊಂದನ್ನು ಅದು ಇರುವ ಸ್ಥಳದಿಂದ ಓದಲು ಎರಡು ಆದೇಶಗಳು ಮತ್ತು ಒಂದು ಕೋಷ್ಟಕ ಬೇಕು.
ಪ್ರಮಾಣಪತ್ರದಿಂದ ಹೊರಡಿಸುವವರ ಸಹಿಯನ್ನು ಓದಿ
CA ತನ್ನ ಸಹಿಯನ್ನು ಗುರುತು ಮತ್ತು ಕೀಲಿಯ ನಡುವಿನ ಬಂಧದ ಮೇಲೆ ಇಡುತ್ತದೆ. ಆ ಸಹಿ ಹೊರಡಿಸುವ ಸಮಯದಲ್ಲಿ CA ಏನು ಮಾಡಿತು ಎಂಬುದನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಸಂಪರ್ಕಿಸುವಾಗ ವಿಷಯ ಏನು ಮಾಡುತ್ತದೆ ಎಂಬುದನ್ನಲ್ಲ, ಆದ್ದರಿಂದ ಅದರ ಅಲ್ಗಾರಿದಮ್ CA ಯ ಸ್ವಂತ ಹ್ಯಾಶ್ ಮತ್ತು ಕೀಲಿ ಆಯ್ಕೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ. ಒಂದು ಬಗೆಯ ವಿಷಯ ಕೀಲಿ ಯಾವುದೇ ಅಸಂಗತಿಯಿಲ್ಲದೆ ಇನ್ನೊಂದು ಬಗೆಯ CA ಕೀಲಿಯ ಅಡಿಯಲ್ಲಿ ಇರಬಹುದು, ಮತ್ತು CA ಕೀಲಿಯ ತಿರುಗುವಿಕೆ ದೋಷವಲ್ಲ, ದಿನನಿತ್ಯದ ಕೆಲಸ. ಎರಡು ಕ್ಷೇತ್ರಗಳನ್ನು ಓದಿ, ನಿಮ್ಮ ಬಳಿ ಪಟ್ಟಿಯ ಅರ್ಧ ಭಾಗ ಇರುತ್ತದೆ:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"ಎರಡೂ ಲೇಬಲ್ಗಳನ್ನು ಪ್ರತ್ಯೇಕ ನಮೂದುಗಳಾಗಿ ಬರೆಯಿರಿ. ಮೊದಲನೆಯದು CA ಅನ್ನು ವಿವರಿಸುತ್ತದೆ, ಎರಡನೆಯದು ವಿಷಯದ ಕೀಲಿಯನ್ನು, ಮತ್ತು ಯಾವುದೂ ಆನ್ಲೈನ್ ಸಹಿಯನ್ನು ಊಹಿಸುವುದಿಲ್ಲ.
IKE ವಿನಿಮಯದಿಂದ ಆನ್ಲೈನ್ ಸಹಿಯನ್ನು ಓದಿ
ದೃಢೀಕರಣದ ಸಮಯದಲ್ಲಿ ಪ್ರತಿ ಪೀರ್ ತನ್ನ ಸ್ವಂತ ಖಾಸಗಿ ಕೀಲಿಯಿಂದ ವಿನಿಮಯದ ದತ್ತಾಂಶಕ್ಕೆ ಸಹಿ ಹಾಕುತ್ತದೆ, ಮತ್ತು ಇನ್ನೊಂದು ಬದಿ ಆ ಸಾಕ್ಷ್ಯವನ್ನು ಪ್ರಮಾಣಪತ್ರದ ಗುರುತು, ವಿಶ್ವಾಸ ಸರಪಳಿ ಮತ್ತು ನೀತಿಯ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸುತ್ತದೆ. RSA ನಲ್ಲಿ ಪ್ಯಾಡಿಂಗ್ ಮತ್ತು ಹ್ಯಾಶ್ ಈ ಆನ್ಲೈನ್ ಯೋಜನೆಗೆ ಸೇರಿವೆ, ಆದ್ದರಿಂದ ಉದ್ದವಾದ ಕೀಲಿ ಅಥವಾ ಹೊಸ SHA-256 ಪ್ರಮಾಣಪತ್ರವು ದೃಢೀಕರಣ ಸಹಿಗಾಗಿ RSA-PSS ಅನ್ನು ತಾನೇ ಆಯ್ಕೆ ಮಾಡಲು ಸಾಧ್ಯವಿಲ್ಲ. ಸಮಾಲೋಚಿಸಿದ ವಿಧಾನ ಡೀಮನ್ ಲಾಗ್ನಲ್ಲಿ ಅಥವಾ ಅದರ ಸಂಪರ್ಕ ಪಟ್ಟಿಯಲ್ಲಿ ಕಾಣುತ್ತದೆ, ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ ಎಂದಿಗೂ ಇಲ್ಲ. ಪ್ರತಿ ಬದಿಯನ್ನು ಏನು ಸಮಾಲೋಚಿಸಿತು ಎಂದು ಕೇಳಿ, ಏಕೆಂದರೆ ಎರಡು ದಿಕ್ಕುಗಳು ಭಿನ್ನವಾಗಿರಬಹುದು.
ipsec statusall | grep -i "auth\|proposal"ಒಂದು ಬದಿ ಇನ್ನೊಂದು ತಯಾರಿಸಲಾಗದ ಯೋಜನೆಯನ್ನು ಹೆಸರಿಸಿದಾಗ, ಟಿಕೆಟ್ ಯಾವುದರ ಬಗ್ಗೆ ಇತ್ತೋ ಆ ಅಸಂಗತಿಯನ್ನು ನೀವು ಕಂಡುಕೊಂಡಿದ್ದೀರಿ. CA ಮರುಹೊರಡಿಸುವುದು ಅದಕ್ಕೆ ತಪ್ಪು ಪರಿಹಾರ, ಏಕೆಂದರೆ ವಿಫಲವಾದದ್ದು ಪ್ರಮಾಣಪತ್ರವೇ ಅಲ್ಲ.
RFC 7427 ಏನನ್ನು ಬದಲಿಸುತ್ತದೆ, ಏನನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ
ಮೂಲ ವಿಧಾನಗಳು RFC 7296 ನಲ್ಲಿ ಪ್ರತಿ ಅಲ್ಗಾರಿದಮ್ ಸಂಯೋಜನೆಗೆ ಸಂಖ್ಯೆ ಪಡೆದಿವೆ. ನಂತರದ RFC 7427 ಸಹಿ ವಿಸ್ತರಣೆ ಸಹಿ-ಹ್ಯಾಶ್ ಬೆಂಬಲದ ಸಂಕೇತದೊಂದಿಗೆ ಸಾಮಾನ್ಯ Digital Signature ವಿಧಾನವನ್ನು ಸೇರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಹೊಸ ಹ್ಯಾಶ್ಗೆ ತನ್ನದೇ ವಿಧಾನ ಸಂಖ್ಯೆ ಬೇಕಿಲ್ಲ. ಇದು ಸಮಾಲೋಚನೆಯ ವಿಷಯ, ಊಹೆಯಲ್ಲ: ಪೀರ್ ತನ್ನ ಗ್ರಂಥಾಲಯ ಅದೇ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ವಿಶ್ಲೇಷಿಸಬಲ್ಲದ್ದರಿಂದ ವಿಸ್ತರಣೆಯನ್ನು ಪಡೆಯುವುದಿಲ್ಲ, ಮತ್ತು ಮೂಲ ವಿಧಾನಗಳನ್ನು ಮಾತ್ರ ಅಳವಡಿಸುವ ಪೀರ್ ಗೇಟ್ವೇಯನ್ನು ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಇಟ್ಟುಕೊಳ್ಳುವಂತೆ ಒತ್ತಾಯಿಸುತ್ತದೆ. ಇದು ಹೊಂದಾಣಿಕೆಯ ವೆಚ್ಚವಿರುವ ನೀತಿ ವಿನಿಮಯ, ದೋಷವಲ್ಲ.
ಬೆಂಬಲ ಪ್ರತಿ ದಿಕ್ಕಿಗೆ ಮತ್ತು ಪ್ರತಿ ಸಂಪರ್ಕಕ್ಕೆ, ಆದ್ದರಿಂದ ಕುಟುಂಬ ಮಟ್ಟದ ಹೇಳಿಕೆಯನ್ನು ನಂಬುವ ಬದಲು ನಿಮ್ಮ ಮುಂದಿರುವ ಬಿಲ್ಡ್ ಅನ್ನು ಪರೀಕ್ಷಿಸಿ. ಮೂರು ವರ್ಷಗಳ ಹಿಂದೆ ಬರೆದ ಸಾಮರ್ಥ್ಯ ಮ್ಯಾಟ್ರಿಕ್ಸ್ ಮೂರು ವರ್ಷ ಹಳೆಯ ಬಿಲ್ಡ್ಗಳನ್ನು ವಿವರಿಸುತ್ತದೆ.
ಪಟ್ಟಿಗೆ ನಾಲ್ಕು ಸಾಲುಗಳನ್ನು ಹಾಕಿ
ವಾದವನ್ನು ಮುಗಿಸುವ ದಾಖಲೆಯಲ್ಲಿ ನಾಲ್ಕು ಸಾಲುಗಳಿವೆ, ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ಸ್ಥಳದಿಂದ ಓದಲ್ಪಟ್ಟಿದೆ ಮತ್ತು ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ವ್ಯಕ್ತಿಯಿಂದ ಬದಲಾಗಿದೆ. ಏನನ್ನೂ ನಿರ್ಧರಿಸುವ ಮೊದಲು ಅದನ್ನು ತುಂಬಿ, ಏಕೆಂದರೆ ತಪ್ಪಾದ ಸಾಲೇ ಪರಿಹಾರವನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ.
| ವಸ್ತು | ಎಲ್ಲಿಂದ ಓದಬೇಕು | ಯಾರು ಬದಲಿಸುತ್ತಾರೆ |
|---|---|---|
| ಪ್ರಮಾಣಪತ್ರ ಹೊರಡಿಸುವವರ ಸಹಿ | ಪ್ರಮಾಣಪತ್ರದ Signature Algorithm ಕ್ಷೇತ್ರ | CA ನಿರ್ವಾಹಕ, ಹೊರಡಿಸುವ ಸಮಯದಲ್ಲಿ |
| ವಿಷಯದ ಸಾರ್ವಜನಿಕ ಕೀಲಿ | ಪ್ರಮಾಣಪತ್ರದ Public Key Algorithm ಕ್ಷೇತ್ರ | ವಿಷಯ ಕೀಲಿಯನ್ನು ರಚಿಸುವವರು |
| IKE ದೃಢೀಕರಣ ಯೋಜನೆ | ಡೀಮನ್ ಲಾಗ್ ಅಥವಾ ಸಂಪರ್ಕ ಪಟ್ಟಿ, auth ಮತ್ತು signature-hash ಅಧಿಸೂಚನೆ | ಎರಡೂ ಪೀರ್ಗಳಲ್ಲಿನ IKE ಪ್ರೊಫೈಲ್ |
| IKE ಮತ್ತು ESP ರಕ್ಷಣಾ ಅಲ್ಗಾರಿದಮ್ಗಳು | ಸಂಪರ್ಕದ ಪ್ರಸ್ತಾವ ಪಟ್ಟಿ | IPsec ಪ್ರೊಫೈಲ್, ದಿಕ್ಕಿನ ಪ್ರಕಾರ |
ಪ್ರತಿ ಸಾಲು ತನ್ನದೇ ಹೊಂದಾಣಿಕೆಯ ಪರಿಣಾಮವನ್ನು ಹೊಂದಿದೆ. ESP ಸೈಫರ್ ಬದಲಾವಣೆ ಹೊರಡಿಸುವವರ ಸಹಿಯನ್ನು ಆಯ್ಕೆ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು CA ಪರಿಶೀಲನೆಯನ್ನು ಸಡಿಲಿಸುವುದು ಪೀರ್ಗಳು ಎಂದಿಗೂ ಸಮಾಲೋಚಿಸದ ಆನ್ಲೈನ್ ವಿಧಾನವನ್ನು ಸೇರಿಸುವುದಿಲ್ಲ. ಟಿಕೆಟ್ ಸಹಿ ಅಸಂಗತಿಯನ್ನು ಆರೋಪಿಸಿದಾಗ, ನಿಜವಾಗಿ ತಪ್ಪಾದ ಸಾಲು ಬಹುತೇಕ ಎಂದಿಗೂ ಮೊದಲನೆಯದಲ್ಲ.
PKI ಅನ್ನು ದುರ್ಬಲಗೊಳಿಸದೆ ಹಳೆಯ ಪ್ರಕರಣವನ್ನು ಇತ್ಯರ್ಥಪಡಿಸಿ
ಹಳೆಯ ಪೀರ್ ನಿಮ್ಮ ನೀತಿ ಇನ್ನು ಅನುಮತಿಸದ ಯೋಜನೆಯನ್ನು ಮಾತ್ರ ನೀಡಬಹುದು. ಆಯ್ಕೆಗಳು ಸಮಯ-ಸೀಮಿತ ಹೊಂದಾಣಿಕೆ ವಿನಾಯಿತಿ, ಕ್ಲೈಂಟ್ ನವೀಕರಣ, ಅಥವಾ ಆ ಪೀರ್ಗೆ ಮಾತ್ರ ಬೇರೆ ದೃಢೀಕರಣ ವ್ಯವಸ್ಥೆ. ದುರ್ಬಲ ಪ್ರಮಾಣಪತ್ರ ಸಹಿಯ ಸುತ್ತ PKI ಅನ್ನು ಮರುನಿರ್ಮಿಸುವುದು ಆನ್ಲೈನ್ ವಿನಿಮಯದ ಮಿತಿಯನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ ಮತ್ತು ಅದೇ CA ಅನ್ನು ನಂಬುವ ಪ್ರತಿ ಇತರ ಸೇವೆಯನ್ನು ದುರ್ಬಲಗೊಳಿಸುತ್ತದೆ. ನೀವು ಯಾವ ಸಾಲನ್ನು ಬದಲಿಸಿದಿರಿ ಮತ್ತು ವಿನಾಯಿತಿ ಯಾವಾಗ ಮುಗಿಯುತ್ತದೆ ಎಂಬುದನ್ನು ದಾಖಲಿಸಿ.
ನಂತರ ಎರಡೂ ಓದುಗಳನ್ನು ಮೇಲಿನಿಂದ ಮತ್ತೆ ನಡೆಸಿ, ಏಕೆಂದರೆ ಒಂದು ಸಾಲಿನ ಬದಲಾವಣೆ ಇನ್ನೊಂದರಲ್ಲಿ ಸಮಾಲೋಚಿಸುವುದನ್ನು ಸರಿಸಬಹುದು. ಇಡೀ ಪಟ್ಟಿ ಎರಡು ಆದೇಶಗಳು ಮತ್ತು ಒಂದು ಕೋಷ್ಟಕ, ಮತ್ತು ಪೀರ್ ರೌಟರ್, ಲ್ಯಾಪ್ಟಾಪ್ ಅಥವಾ ಸಾಧನವಾದರೂ ಕೆಲಸ ಅದೇ.