strongSwan send_cert: IKE сертификаты качан жөнөтүлөт

send_cert peer өз сертификатын жөнөтөбү, жокпу, аны аныктайт, ал эми send_certreq каршы тараптан аны сурайт. Кабыл алуучунун ишенимин өзгөртүүдөн мурун журналдарды текшериңиз.

Шлюздар сертификатка байланыштуу аутентификация каталарын журналга жазат, ал эми биринчи ой кабыл алуучуга дагы бир CA кошуу болот. Бул сертификат келип, четке кагылды дегенди билдирет. Экинчи мүмкүнчүлүк — ал эч качан жөнөтүлгөн эмес, муну жөнөтүүчүнүн туташуу саясаты чечет. Ишенимди өзгөртүүдөн мурун эки учурдун кайсынысы болгонун аныктаңыз.

send_cert чындыгында эмнени башкарат

Сертификат менен аутентификация каршы тараптын акыркы объект сертификаты IKE алмашуусу аркылуу же алдын ала даярдоо аркылуу жетүүсүн талап кылат. swanctl ичинде туташуу параметри send_cert бул акыркы чекит өзүнүн сертификат жүгүн кошобу, жокпу, аны аныктайт: эч качан, дайыма же ifasked. Демейки ifasked аны peer тарабынан келген сертификат суроосуна жооп катары жөнөтөт. Сертификат суроо — өзүнчө параметр, анткени каршы тараптан анын сертификатын суроо өзүңдүкүн сунуштоо менен бирдей эмес.

Эски ipsec.conf орнотуулары leftsendcert жана rightsendcert колдонгон, бул аттар жергиликтүү жана алыскы ролдорго туура келет, swanctl-ге түз эмес.

Туташууну өзгөртүүдөн мурун бир аракетти окуңуз

Бир көзөмөлдөнгөн аракет боюнча диагностика жасаңыз, сертификаттар катышып жатат деген жалпы таасир боюнча эмес. Саясатты да, активдүү ассоциацияны да караса болот.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Туташуулардын тизмеси конфигурацияланган send_cert маанисин көрсөтөт, ал эми SA тизмеси кайсы туташуулар чындыгында көтөрүлгөнүн көрсөтөт. Журнал сүйлөшүү деталдарын кошот: сертификат суроосу келип түштүбү жана сертификат жүгү чыктыбы. Жалпы аутентификация катасы жеткирүү маселесин көрсөтпөйт, ошондуктан тыянак чыгарардан мурун так алмашууну табыңыз. Аракеттин убакыт белгисин жазып алыңыз, журнал терезеси бүт кол алышууну камтыш үчүн.

Кабыл алуучунун ишеними — өзүнчө чечим

Жеткирүү жана ишеним — ар башка касиеттер, бирөөнү оңдоо экинчисин оңдобойт. Кабыл алуучуда көздөлгөн ишеним зыңыры болушу, жарактуу тизмек алышы жана күтүлгөн peer идентификациясына дал келиши керек. Өзүнүн аралык сертификатысыз келген акыркы объект сертификаты катуу тизмек текшерүүсүнөн дагы эле өтпөйт. Тескерисинче, CA орнотуу peer-ди өз сертификатын такыр жөнөтүүгө мажбурлабайт.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Текшерүү сертификатка кайсы чыгаруучу кол койгонун жана качан мөөнөтү бүтөөрүн көрсөтөт, кабыл алуучунун зыңыры ошого туура келиши керек. Орнотууга таандык чыгаруучу CA-га ишениңиз, тизмектеги ар бир аралык сертификатка эмес, анткени ар бир аралык сертификатты тамырга көтөрүү ишенимди бир peer-ден алда канча кеңейтет. Идентификацияны текшерүүнү күйүк тутуңуз, анткени тек текшерүү өчүрүлгөндө өткөн туташуу — оңдоо эмес. Тизмек толук эмес жерде даярдоону оңдоңуз, жөнөтүүчүнүн саясатын эмес.

Жөнөтүүчүнү тек далилдер менен өзгөртүңүз

Журнал сертификаттын эч качан жөнөтүлбөгөнүн, ал эми кабыл алуучу аны чындыгында сураганын көрсөтсө, send_cert үчүн always мааниси ошол туташуу үчүн негиздүү өзгөртүү болуп саналат. Аны swanctl конфигурациясында колдонуңуз, туташууларды кайра жүктөңүз жана бар SA-ны кайра колдонуунун ордуна жаңы сессия орнотуңуз. Сертификат жүгү азыр пайда болорун жана кабыл алуучу аны көздөлгөн зыңырга каршы кабыл аларын ырастаңыз. Эч нерсе өзгөрбөсө, ката ишеним тарабында болгон жана жөнөтүүчү параметри себеп болгон эмес.

Байкалган алмашууну, зыңырды жана андан келип чыккан текшерүүнү өзгөртүүлөр жазуусуна жазыңыз. Бул терминдер менен сүрөттөөгө келбеген сертификат оңдоосу — кокустук.

Тектеш макалалар