strongSwan: ачкычтын түрү, жүктөгүч жана туура эмес backend

PEM — бул контейнер, ачкычтын түрү эмес. Сертификаттын ачык ачкычын жеке ачкыч менен салыштырыңыз, анан аны чындап окуган backend аркылуу жүктөңүз.

Файл кеңейтүүлөрү ачкыч алгоритмдерин аныктабайт, жана .pem кабыгы RSA же ECDSA материалын камтышы мүмкүн. PEM байттардын кантип оролгонун сүрөттөйт, ал эми RSA жана ECDSA ар башка алгоритмдерди билдирет, ал эми PKCS12 файлы үчүнчү нерсе. strongSwan эсеп маалыматтарын плагиндер жана конфигурациялык backend аркылуу жүктөйт, ошондуктан сертификат тизмеде көрүнүшү мүмкүн, бирок жеке ачкыч эч качан колдонулуучу болбойт. Ар кандай сырды түзөтүүдөн мурун бул катмарларды бөлүңүз.

Коддоо, алгоритм жана таңгактоо — үч катмар

Ачкыч файлынын коддоосу, алгоритми жана көбүнчө контейнери болот. PEM — белгилүү base64 кабыгы; DER — анын бинардык баламасы; PKCS12 сертификатты ачкычы жана чынжыры менен бириктирет. Сертификаттар чынжырынын файлы дагы бир контейнер жана адатта анда жеке ачкыч такыр болбойт. Бул белгилердин эч бири ичиндеги материал RSA же ECDSA экенин айтпайт.

Алгоритмди объектинин өзүнөн окуңуз. Провайдердин маркетингдик аталышы же файл кеңейтүүсү далил эмес, анткени бир эмитент ар башка ачкыч түрлөрүн бере алат.

Жүктөгүчтү күнөөлөөдөн мурун ачык ачкычтарды салыштырыңыз

Жүктөлгөн сертификат сертификаттын талдангандыгын далилдейт, анын жеке ачкычынын бар экенин же жарактуулугун эмес. Ачык ачкычты сертификаттан жана сунушталган жеке ачкычтан чыгарып, анан эки дайджестти салыштырыңыз. Эгер кандайдыр бир чыгаруу ишке ашпаса, ошол жерде токтоңуз, анткени бош чыгарылыштын дайджести эч нерсени далилдебейт. Далай келген дайджесттер жуптун бирге экенин далилдейт, ал эми сертификаттын ишке ылайыктуулугу жөнүндө башка эч нерсе эмес.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Экинчи буйрук машинаңыздагы жеке материалга тийет, бирок ачык жарымын гана чыгарат. Ошондой калтырыңыз жана жеке ачкычты билетке эч качан койбоңуз. Эгер ачкыч шифрленген болсо, колдоого алынган куралга сырсөздү суроого жол бериңиз, аны процесс тизмеси ача ала турган буйрук сабына коюунун ордуна.

Эски ipsec.secrets же swanctl эсеп маалыматтары

strongSwan'да көп колдонулган эки эсеп маалымат жолу бар. Эски starter стеги типке тиешелүү жазууларды мындан окуйт: ipsec.secrets, жана ар бир жазуу материал үчүн туура типти көрсөтүшү керек. swanctl жана vici стеги ачкычтарды өзүнүн эсеп маалымат папкасынан өз конфигурациясы аркылуу жүктөйт. Иштеп жаткан backend окубаган файлды түзөтүү эч нерсени өзгөртпөйт.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Кайсы backend чындап иштеп жатканын аныктаңыз, анан ачкычты ошол backend караган жерге коюңуз. strongSwan 5.9 эски колдонмосу типке тиешелүү сыр жазууларын аныктайт жана бул swanctl документтери эмес. Экөөнү аралаштыруу администратор ишенимдүү деп эсептеген файлды этибарга албаган daemon жаратат. Ката тууралуу билдирбеген кайра жүктөө конфигурация талдангандыгын гана билдирет.

Жүктөө окуясын жана аутентификация натыйжасын окуңуз

Көзөмөлдөнгөн кайра жүктөөдөн кийин, белгилүү ачкыч үчүн daemon'дун өзүнүн жүктөө чыгарылышын окуңуз. Абал демпинде көрсөтүлгөн сертификат жеке ачкыч ага дал келтирилгенин көрсөтпөйт.

Эгер кардар дагы эле ишке ашпаса, сервер окуясын жана кардар катасын өзүнчө кармаңыз. Чынжырды текшерүү, инсандыкты салыштыруу жана ыкмалардын шайкештиги өз далилдери бар кийинки суроолор. Натыйжаны ачкычтын так жолу жана салыштырган дайджестиңиз менен жазып коюңуз, антпесе кийинки смена ошол эле кайра жүктөөнү кайталайт. CA'ны алмаштыруу жүктөгүчтүн дал келбестигине биринчи жооп эмес.

Тектеш макалалар