IKEv2 эки кол тамгага ээ: сертификат жана IKE_AUTH
CA сертификатка кол коёт, ал эми теңдеш өзүнүн IKE_AUTH алмашуусуна өз схемасы менен кол коёт. Ар бирин өз талаасынан окуп, экөөнү тең жазыңыз.
Сиздин тикетиңиз сертификат SHA-256 деп айтат, бирок шлюздун журналы башка кол тамга алгоритмин атайт, жана бирөө CAны кайра чыгаруу өтүнүчүн буга чейин даярдап койгон. Ошол өтүнүч эч жакка кетээрден мурун эки кол тамганы бөлүңүз: бири — чыгаруучунун ачык ачкычка койгон мөөрү, экинчиси — IKE_AUTH убагында теңдештин тиешелүү жеке ачкычка ээ экенин далилдеши. Аларды ар кандай компоненттер тандайт жана алардын айырмаланышына жол берилет. Ар бирин жашаган жеринен окуу эки буйрук менен бир таблицаны талап кылат.
Чыгаруучунун кол тамгасын сертификаттан окуңуз
CA өз кол тамгасын инсандык менен ачкычтын ортосундагы байланышка коёт. Бул кол тамга CA чыгаруу убагында эмне кылганын жазат, субъект туташканда эмне кыларын эмес, ошондуктан анын алгоритми CAнын өз хэш жана ачкыч тандоосун сүрөттөйт. Бир типтеги субъект ачкычы башка типтеги CA ачкычынын астында эч кандай карама-каршылыксыз тура алат, ал эми CA ачкычын айландыруу кемчилик эмес, кадимки иш. Эки талааны окуңуз, жарымы колуңузда:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Эки белгини өз-өзүнчө жазуу катары жазыңыз. Биринчиси CAны, экинчиси субъекттин ачкычын сүрөттөйт, жана экөө тең онлайн кол тамганы болжолдобойт.
Онлайн кол тамганы IKE алмашуусунан окуңуз
Аутентификация убагында ар бир теңдеш алмашуу маалыматтарына өзүнүн жеке ачкычы менен кол коёт, ал эми каршы тарап бул далилди сертификаттын инсандыгына, ишеним чынжырына жана саясатына каршы текшерет. RSA үчүн толтуруу жана хэш ушул онлайн схемага таандык, ошондуктан узунураак ачкыч же жаңы SHA-256 сертификаты аутентификация кол тамгасы үчүн RSA-PSSти өз алдынча тандай албайт. Келишилген ыкма демон журналында же анын туташуулар тизмесинде көрүнөт, сертификатта эч качан эмес. Ар тараптан эмнеге келишкенин сураңыз, анткени эки багыт айырмаланышы мүмкүн.
ipsec statusall | grep -i "auth\|proposal"Бир тарап экинчиси жасай албаган схеманы атаганда, тикет тууралуу болгон келишпестикти таптыңыз. CAны кайра чыгаруу буга туура эмес оңдоо, анткени ийгиликсиз болгон нерсе сертификат эмес эле.
RFC 7427 эмнени өзгөртөт, эмнени өзгөртпөйт
Баштапкы ыкмалар RFC 7296да ар бир алгоритм айкалышы боюнча номерленген. Кийинки RFC 7427 кол тамга кеңейтүүсү кол тамга хэшин колдоону сигналдоо менен жалпы Digital Signature ыкмасын кошот, ошондуктан жаңы хэшке өз ыкма номери талап кылынбайт. Бул келишилүүчү нерсе, божомолдонбойт: теңдеш кеңейтүүнү китепканасы ошол эле сертификаттарды талдай алгандыктан албайт, ал эми баштапкы ыкмаларды гана ишке ашырган теңдеш шлюзду алардын бирин кармоого мажбурлайт. Бул шайкештик наркы бар саясий алмашуу, кемчилик эмес.
Колдоо ар бир багыт жана ар бир туташуу боюнча, ошондуктан үй-бүлө деңгээлиндеги божомолго ишенбей, алдыңыздагы курулманы сынаңыз. Үч жыл мурун жазылган мүмкүнчүлүктөр матрицасы үч жылдык курулмаларды сүрөттөйт.
Тизмеге төрт сап кошуңуз
Талашты бүтүргөн жазуунун төрт сабы бар, ар бири башка жерден окулган жана ар бирин башка адам өзгөрткөн. Бир нерсени чечээрден мурун аны толтуруңуз, анткени так ката сап оңдоону тандайт.
| Объект | Кайдан окулат | Ким өзгөртөт |
|---|---|---|
| сертификат чыгаруучусунун кол тамгасы | сертификаттын Signature Algorithm талаасы | CA оператору, чыгаруу убагында |
| субъекттин ачык ачкычы | сертификаттын Public Key Algorithm талаасы | субъект ачкычын жараткан адам |
| IKE аутентификация схемасы | демон журналы же туташуулар тизмеси, auth жана signature-hash билдирүүсү | эки теңдештеги IKE профили |
| IKE жана ESP коргоо алгоритмдери | туташуунун сунуштар тизмеси | IPsec профили, багыт боюнча |
Ар бир сап өзүнүн шайкештик кесепетин алып жүрөт. ESP шифрин өзгөртүү чыгаруучунун кол тамгасын тандабайт, ал эми CA текшерүүсүн бошотуу теңдештер эч качан келишпеген онлайн ыкманы кошпойт. Тикет кол тамга келишпестигин айтканда, чын эле ката сап дээрлик эч качан биринчи болбойт.
Эски учурду PKIди алсыздатпай чечиңиз
Эскирээк теңдеш сиздин саясатыңыз эми уруксат бербеген схеманы гана сунушташы мүмкүн. Тандоолор — убакыт менен чектелген шайкештик өзгөчөлүгү, кардарды жаңыртуу же так ошол теңдеш үчүн башка аутентификация тартиби. PKIди алсызыраак сертификат кол тамгасынын айланасында кайра куруу онлайн алмашуудагы чектөөнү оңдобойт жана ошол CAга ишенген калган бардык кызматты алсыздатат. Кайсы сапты өзгөрткөнүңүздү жана өзгөчөлүк качан бүтөрүн жазыңыз.
Анан эки окууну кайрадан жогорудан аткарыңыз, анткени бир саптагы өзгөртүү экинчисинде келишилген нерсени жылдырышы мүмкүн. Бүт тизме эки буйрук менен бир таблица, жана теңдеш маршрутизатор, ноутбук же түзмөк болсо да иш ошол эле.