strongSwan send_cert: IKE ಪ್ರಮಾಣಪತ್ರ ಯಾವಾಗ ಕಳುಹಿಸಲಾಗುತ್ತದೆ

ಗೇಟ್ವೇಗಳು ಪ್ರಮಾಣಪತ್ರ ಸಂಬಂಧಿತ ದೃಢೀಕರಣ ವೈಫಲ್ಯಗಳನ್ನು ಲಾಗ್ ಮಾಡುತ್ತವೆ, ಮತ್ತು ಮೊದಲ ಪ್ರತಿಕ್ರಿಯೆ ಸ್ವೀಕರಿಸುವವರಿಗೆ ಇನ್ನೊಂದು CA ಸೇರಿಸುವುದು. ಅದು ಪ್ರಮಾಣಪತ್ರ ಬಂದು ತಿರಸ್ಕರಿಸಲ್ಪಟ್ಟಿದೆ ಎಂದು ಊಹಿಸುತ್ತದೆ. ಇನ್ನೊಂದು ಸಾಧ್ಯತೆ ಎಂದರೆ ಅದನ್ನು ಎಂದೂ ಕಳುಹಿಸಲಾಗಿಲ್ಲ, ಮತ್ತು ಅದನ್ನು ಕಳುಹಿಸುವವರ ಸಂಪರ್ಕ ನೀತಿ ನಿರ್ಧರಿಸುತ್ತದೆ. ನಂಬಿಕೆಯನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಎರಡರಲ್ಲಿ ಯಾವುದು ಸಂಭವಿಸಿತು ಎಂದು ನಿರ್ಧರಿಸಿ.

send_cert ನಿಜವಾಗಿ ಏನನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ

ಪ್ರಮಾಣಪತ್ರದ ಮೂಲಕ ದೃಢೀಕರಣಕ್ಕೆ peer ನ ಅಂತಿಮ-ಘಟಕ ಪ್ರಮಾಣಪತ್ರ IKE ವಿನಿಮಯ ಅಥವಾ ಪೂರ್ವ ಸಿದ್ಧತೆಯ ಮೂಲಕ ಇನ್ನೊಂದು ಬದಿಗೆ ತಲುಪಬೇಕು. swanctl ನಲ್ಲಿ ಸಂಪರ್ಕ ಸೆಟ್ಟಿಂಗ್ send_cert ಈ ಅಂತಿಮ ಬಿಂದು ತನ್ನ ಪ್ರಮಾಣಪತ್ರ ಪೇಲೋಡ್ ಸೇರಿಸುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ: ಎಂದೂ ಇಲ್ಲ, ಯಾವಾಗಲೂ ಅಥವಾ ifasked. ಡೀಫಾಲ್ಟ್ ifasked ಅದನ್ನು peer ನಿಂದ ಬಂದ ಪ್ರಮಾಣಪತ್ರ ವಿನಂತಿಗೆ ಉತ್ತರವಾಗಿ ಕಳುಹಿಸುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರ ಕೇಳುವುದು ಪ್ರತ್ಯೇಕ ಸೆಟ್ಟಿಂಗ್, ಏಕೆಂದರೆ ಇನ್ನೊಂದು ಬದಿಯಿಂದ ಅದರ ಪ್ರಮಾಣಪತ್ರ ಕೇಳುವುದು ತನ್ನದನ್ನು ನೀಡುವುದಕ್ಕೆ ಸಮವಲ್ಲ.

ಹಳೆಯ ipsec.conf ನಿಯೋಜನೆಗಳು leftsendcert ಮತ್ತು rightsendcert ಬಳಸುತ್ತಿದ್ದವು, ಆ ಹೆಸರುಗಳು ಸ್ಥಳೀಯ ಮತ್ತು ದೂರದ ಪಾತ್ರಗಳಿಗೆ ಹೊಂದುತ್ತವೆ, ನೇರವಾಗಿ swanctl ಗೆ ಅಲ್ಲ.

ಸಂಪರ್ಕ ಬದಲಿಸುವ ಮೊದಲು ಒಂದು ಪ್ರಯತ್ನ ಓದಿ

ಒಂದು ನಿಯಂತ್ರಿತ ಪ್ರಯತ್ನದಿಂದ ರೋಗನಿರ್ಣಯ ಮಾಡಿ, ಪ್ರಮಾಣಪತ್ರಗಳು ಒಳಗೊಂಡಿವೆ ಎಂಬ ಸಾಮಾನ್ಯ ಅಭಿಪ್ರಾಯದಿಂದ ಅಲ್ಲ. ನೀತಿ ಮತ್ತು ಸಕ್ರಿಯ ಸಂಬಂಧ ಎರಡನ್ನೂ ಪರಿಶೀಲಿಸಬಹುದು.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

ಸಂಪರ್ಕ ಪಟ್ಟಿ ಸಂರಚಿತ send_cert ಮೌಲ್ಯವನ್ನು ತೋರಿಸುತ್ತದೆ, SA ಪಟ್ಟಿ ಯಾವ ಸಂಪರ್ಕಗಳು ನಿಜವಾಗಿ ಎದ್ದವು ಎಂದು ತೋರಿಸುತ್ತದೆ. ಲಾಗ್ ಮಾತುಕತೆಯ ವಿವರಗಳನ್ನು ಸೇರಿಸುತ್ತದೆ: ಪ್ರಮಾಣಪತ್ರ ವಿನಂತಿ ಸಿಕ್ಕಿತೇ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಪೇಲೋಡ್ ಹೊರಟಿತೇ. ಸಾಮಾನ್ಯ ದೃಢೀಕರಣ ವೈಫಲ್ಯ ಡೆಲಿವರಿ ಸಮಸ್ಯೆಯನ್ನು ಸೂಚಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಏನನ್ನೂ ತೀರ್ಮಾನಿಸುವ ಮೊದಲು ನಿರ್ದಿಷ್ಟ ವಿನಿಮಯವನ್ನು ಹುಡುಕಿ. ಪ್ರಯತ್ನದ ಸಮಯ ಮುದ್ರೆಯನ್ನು ದಾಖಲಿಸಿ, ಲಾಗ್ ವಿಂಡೋ ಇಡೀ ಹ್ಯಾಂಡ್ಶೇಕ್ ಆವರಿಸುವಂತೆ.

ಸ್ವೀಕರಿಸುವವರ ನಂಬಿಕೆ ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರ

ಡೆಲಿವರಿ ಮತ್ತು ನಂಬಿಕೆ ಬೇರೆ ಬೇರೆ ಗುಣಗಳು, ಒಂದನ್ನು ಸರಿಪಡಿಸುವುದು ಇನ್ನೊಂದನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಸ್ವೀಕರಿಸುವವರ ಬಳಿ ಉದ್ದೇಶಿತ ನಂಬಿಕೆ ಆಂಕರ್ ಇರಬೇಕು, ಬಳಸಬಹುದಾದ ಸರಪಳಿ ಸಿಗಬೇಕು ಮತ್ತು ನಿರೀಕ್ಷಿತ peer ಗುರುತಿನೊಂದಿಗೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು. ತನ್ನ ಮಧ್ಯವರ್ತಿ ಪ್ರಮಾಣಪತ್ರವಿಲ್ಲದೆ ಬರುವ ಅಂತಿಮ-ಘಟಕ ಪ್ರಮಾಣಪತ್ರ ಕಟ್ಟುನಿಟ್ಟಿನ ಸರಪಳಿ ಪರಿಶೀಲನೆಯಲ್ಲಿ ಇನ್ನೂ ವಿಫಲವಾಗುತ್ತದೆ. ವಿರುದ್ಧವಾಗಿ, CA ಸ್ಥಾಪಿಸುವುದು peer ತನ್ನ ಪ್ರಮಾಣಪತ್ರ ಕಳುಹಿಸಲು ಸ್ವಲ್ಪವೂ ಒತ್ತಾಯಿಸುವುದಿಲ್ಲ.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

ಪರಿಶೀಲನೆ ಯಾವ ನೀಡುಗರು ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಸಹಿ ಹಾಕಿದರು ಮತ್ತು ಯಾವಾಗ ಮುಗಿಯುತ್ತದೆ ಎಂದು ತೋರಿಸುತ್ತದೆ, ಸ್ವೀಕರಿಸುವವರ ಆಂಕರ್ ಅದಕ್ಕೆ ಹೊಂದಬೇಕು. ನಿಯೋಜನೆಯ ಒಡೆತನದ ನೀಡುಗ CA ಅನ್ನು ನಂಬಿ, ಸರಪಳಿಯ ಪ್ರತಿ ಮಧ್ಯವರ್ತಿ ಪ್ರಮಾಣಪತ್ರವನ್ನಲ್ಲ, ಏಕೆಂದರೆ ಪ್ರತಿ ಮಧ್ಯವರ್ತಿಯನ್ನೂ ಮೂಲಕ್ಕೆ ಏರಿಸುವುದು ನಂಬಿಕೆಯನ್ನು ಒಂದು peer ಗಿಂತ ಬಹಳ ದೂರ ವಿಸ್ತರಿಸುತ್ತದೆ. ಗುರುತಿನ ಪರಿಶೀಲನೆಯನ್ನು ಸಕ್ರಿಯವಾಗಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡಿ ಮಾತ್ರ ಯಶಸ್ವಿಯಾಗುವ ಸಂಪರ್ಕ ಸರಿಪಡಿಸುವಿಕೆ ಅಲ್ಲ. ಸರಪಳಿ ಅಪೂರ್ಣವಾಗಿರುವಲ್ಲಿ, ಸಿದ್ಧತೆಯನ್ನು ಸರಿಪಡಿಸಿ, ಕಳುಹಿಸುವವರ ನೀತಿಯನ್ನಲ್ಲ.

ಸಾಕ್ಷ್ಯದೊಂದಿಗೆ ಮಾತ್ರ ಕಳುಹಿಸುವವರನ್ನು ಬದಲಿಸಿ

ಪ್ರಮಾಣಪತ್ರವನ್ನು ಎಂದೂ ಕಳುಹಿಸಲಾಗಿಲ್ಲ ಮತ್ತು ಸ್ವೀಕರಿಸುವವರು ನಿಜವಾಗಿ ಅದನ್ನು ಕೇಳಿದ್ದಾರೆ ಎಂದು ಲಾಗ್ ತೋರಿಸಿದಾಗ, send_cert ಅನ್ನು always ಗೆ ಹೊಂದಿಸುವುದು ಆ ಸಂಪರ್ಕಕ್ಕೆ ಸಮರ್ಥನೀಯ ಬದಲಾವಣೆ. ಅದನ್ನು swanctl ಸಂರಚನೆಯಲ್ಲಿ ಅನ್ವಯಿಸಿ, ಸಂಪರ್ಕಗಳನ್ನು ಮರುಲೋಡ್ ಮಾಡಿ ಮತ್ತು ಇರುವ SA ಅನ್ನು ಮರುಬಳಸುವ ಬದಲು ಹೊಸ ಅಧಿವೇಶನ ಸ್ಥಾಪಿಸಿ. ಪ್ರಮಾಣಪತ್ರ ಪೇಲೋಡ್ ಈಗ ಕಾಣಿಸುತ್ತದೆ ಮತ್ತು ಸ್ವೀಕರಿಸುವವರು ಅದನ್ನು ಉದ್ದೇಶಿತ ಆಂಕರ್ಗೆ ವಿರುದ್ಧವಾಗಿ ಸ್ವೀಕರಿಸುತ್ತಾರೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಏನೂ ಬದಲಾಗದಿದ್ದರೆ, ದೋಷ ನಂಬಿಕೆಯ ಕಡೆಯೇ ಇತ್ತು ಮತ್ತು ಕಳುಹಿಸುವವರ ಸೆಟ್ಟಿಂಗ್ ಕಾರಣವಲ್ಲ.

ಗಮನಿಸಿದ ವಿನಿಮಯ, ಆಂಕರ್ ಮತ್ತು ಅದರಿಂದ ಬಂದ ಪರಿಶೀಲನೆಯನ್ನು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಬರೆಯಿರಿ. ಈ ಪದಗಳಲ್ಲಿ ವಿವರಿಸಲಾಗದ ಪ್ರಮಾಣಪತ್ರ ಸರಿಪಡಿಸುವಿಕೆ ಆಕಸ್ಮಿಕ.