strongSwan send_cert: wéini den IKE-Zertifikat geschéckt gëtt

Gateways schreiwen zertifikatsbezunnen Authentifikatiounsfehler an d'Loggen, an den éischten Impuls ass, dem Empfänger nach eng CA bäizesetzen. Dat setzt viraus, datt den Zertifikat ukomm ass an ofgeleent gouf. Déi aner Méiglechkeet ass, datt en ni geschéckt gouf, an dat entscheet d'Verbindungspolitik vum Sender. Bestëmmt, wéi ee vun deenen zwee geschitt ass, ier Dir d'Vertraue ännert.

Wat send_cert tatsächlech steiert

D'Zertifikatsauthentifikatioun brauch, datt den End-Entity-Zertifikat vum Peer iwwer den IKE-Austausch oder iwwer eng fréier Virbereedung op déi aner Säit kënnt. A swanctl entscheet d'Verbindungsastellung send_cert, ob dësen Endpunkt seng Zertifikatslaascht matschéckt: ni, ëmmer oder ifasked. Den Standard ifasked schéckt en als Äntwert op eng Zertifikatsufro vum Peer. En Zertifikat ufroen ass eng eege Astellung, well déi aner Säit ëm hire Zertifikat ze froen ass net datselwecht wéi deen eegenen unzebidden.

Méi al ipsec.conf-Installatiounen hunn leftsendcert a rightsendcert benotzt, an déi Nimm entspriechen de lokalen an deenen entfernte Rollen, net direkt swanctl.

Liest een Versuch, ier Dir d'Verbindung ännert

Diagnostizéiert aus engem eenzegen kontrolléierten Versuch, net aus dem allgemengen Androck, datt Zertifikater dobäi sinn. Souwuel d'Politik wéi och d'aktiv Associatioun kënnen iwwerpréift ginn.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

D'Verbindungslëscht weist de konfiguréierte Wäert vun send_cert, an d'SA-Lëscht weist, wéi eng Verbindungen tatsächlech opkomm sinn. D'Log ergänzt Detailer vun der Verhandlung: ob eng Zertifikatsufro ukomm ass an ob eng Zertifikatslaascht erausgaang ass. En allgemengen Authentifikatiounsfehler weist net op e Liwwerproblem hin, also sicht den konkreten Austausch, ier Dir eppes schlussfolgert. Notéiert den Zäitstempel vum Versuch, sou datt d'Logfënster de ganzen Handshake deckt.

D'Vertraue vum Empfänger ass eng eege Entscheidung

Liwwerung a Vertraue sinn ënnerschiddlech Eegenschaften, an dat engt ze reparéieren reparéiert dat anert net. En Empfänger muss de virgesinnene Vertrauensanker hunn, eng brauchbar Kette kréien an der erwaarter Peer-Identitéit entspriechen. En End-Entity-Zertifikat, deen ouni säin Zwëschenzertifikat ukomm, fält nach ëmmer bei enger strikter Kettekontroll duerch. Ëmgekéiert zwingt d'Installatioun vun enger CA e Peer guer net, säin Zertifikat iwwerhaapt ze schécken.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

D'Iwwerpréifung weist, wéi en Aussteller den Zertifikat ënnerschriwwen huet a wéini en ofleeft, an dozou muss den Anker vum Empfänger passen. Vertraut der ausstellender CA, déi d'Installatioun huet, net all Zwëschenzertifikat an der Kette, well all Zwëschenzertifikat op Wuerzel ze hiewen d'Vertraue wäit iwwer ee Peer eraus verbreet. Hält d'Identitéitspréifung aktiv, well eng Verbindung, déi just mat ausgeschalteter Validéierung geléngt, keng Reparatur ass. Wou d'Kette onkomplett ass, reparéiert d'Virbereedung an net d'Politik vum Sender.

Ännert de Sender just mat Beweiser

Wann d'Log weist, datt den Zertifikat ni geschéckt gouf an den Empfänger en awer ugefrot huet, ass send_cert op always eng gerechtfäerdegt Ännerung fir déi Verbindung. Setzt se an der swanctl-Konfiguratioun ëm, lued d'Verbindungen nei a baut eng nei Sessioun op, amplaz déi bestoend SA weiderzebenotzen. Bestätegt, datt d'Zertifikatslaascht elo erschéngt an den Empfänger se géint de virgesinnenen Anker akzeptéiert. Wann sech näischt ännert, louch de Feeler awer op der Vertrauenssäit an d'Senderastellung war net d'Ursaach.

Schreift den observéierten Austausch, den Anker an déi doraus resultéierend Iwwerpréifung an de Ännerungsprotokoll. Eng Zertifikatskorrektur, déi sech net an deenen Termini beschreiwe léisst, ass en Zoufall.