IKEv2 turi duomenis parašus: sertifikatą ir IKE_AUTH
CA pasirašo sertifikatą, o partneris pasirašo savo IKE_AUTH mainus sava schema. Perskaitykite kiekvieną iš savo lauko ir užsirašykite abu.
Jūsų bilietas teigia, kad sertifikatas yra SHA-256, o šliuzo žurnalas nurodo kitą parašo algoritmą, ir kažkas jau parengė prašymą išleisti CA iš naujo. Prieš tam prašymui kur nors išvykstant, atskirkite du parašus: vienas yra išdavėjo antspaudas ant viešojo rakto, kitas yra partnerio įrodymas, kad IKE_AUTH metu jis turi atitinkamą privatų raktą. Juos renkasi skirtingi komponentai, ir jiems leidžiama skirtis. Perskaityti kiekvieną iš tos vietos, kur jis gyvena, reikia dviejų komandų ir vienos lentelės.
Perskaitykite išdavėjo parašą iš sertifikato
CA deda savo parašą ant ryšio tarp tapatybės ir rakto. Tas parašas fiksuoja, ką CA padarė išduodama, o ne ką subjektas darys prisijungdamas, todėl jo algoritmas apibūdina paties CA maišos ir rakto pasirinkimą. Vieno tipo subjekto raktas gali būti kito tipo CA rakto apačioje be jokio prieštaravimo, o CA rakto rotacija yra rutina, o ne gedimas. Perskaitykite du laukus ir turite pusę inventoriaus:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Užrašykite abu etiketes kaip atskirus įrašus. Pirmoji apibūdina CA, antroji apibūdina subjekto raktą, ir nė viena nenuspėja internetinio parašo.
Perskaitykite internetinį parašą iš IKE mainų
Autentifikavimo metu kiekvienas partneris pasirašo mainų duomenis savo privačiu raktu, o kita pusė tikrina tą įrodymą pagal sertifikato tapatybę, pasitikėjimo grandinę ir politiką. RSA atveju užpildymas ir maiša priklauso šiai internetinei schemai, todėl ilgesnis raktas ar naujas SHA-256 sertifikatas pats savaime negali pasirinkti RSA-PSS autentifikavimo parašui. Suuderėtas metodas rodomas demono žurnale arba jo jungčių sąraše, niekada sertifikate. Paklauskite kiekvienos pusės, dėl ko ji susiderėjo, nes dvi kryptys gali skirtis.
ipsec statusall | grep -i "auth\|proposal"Kai viena pusė nurodo schemą, kurios kita negali sukurti, radote tą neatitikimą, dėl kurio buvo bilietas. Išleisti CA iš naujo yra neteisingas taisymas, nes sertifikatas niekada nebuvo tai, kas nepavyko.
Ką keičia RFC 7427, o ko ne
Pradiniai metodai numeruojami pagal algoritmų derinį RFC 7296. Vėlesnis RFC 7427 parašo plėtinys prideda bendrą Digital Signature metodą su parašo maišos palaikymo signalizavimu, todėl naujai maišai nebereikia savo metodo numerio. Tai deramasi, o ne daroma prielaida: partneris negauna plėtinio todėl, kad jo biblioteka gali apdoroti tuos pačius sertifikatus, o partneris, įgyvendinantis tik pradinius metodus, verčia šliuzą pasilikti vieną iš jų. Tai politikos mainai su suderinamumo kaina, o ne defektas.
Palaikymas yra pagal kryptį ir pagal jungtį, todėl bandykite priešais esantį kompiliavimą, o ne pasikliaukite teiginiu šeimos lygmenyje. Prieš trejus metus parašyta galimybių matrica apibūdina trejų metų senumo kompiliavimus.
Į inventorių įrašykite keturias eilutes
Įrašas, kuris užbaigia ginčą, turi keturias eilutes, kiekviena perskaityta iš kitos vietos ir kiekviena pakeista kito žmogaus. Užpildykite jį prieš ką nors spręsdami, nes būtent neteisinga eilutė parenka taisymą.
| Objektas | Iš kur skaityti | Kas keičia |
|---|---|---|
| sertifikato išdavėjo parašas | sertifikato laukas Signature Algorithm | CA operatorius, išdavimo metu |
| subjekto viešasis raktas | sertifikato laukas Public Key Algorithm | kas generuoja subjekto raktą |
| IKE autentifikavimo schema | demono žurnalas arba jungčių sąrašas, auth ir signature-hash pranešimas | IKE profilis abiejuose partneriuose |
| IKE ir ESP apsaugos algoritmai | jungties pasiūlymų sąrašas | IPsec profilis, pagal kryptį |
Kiekviena eilutė neša savo suderinamumo pasekmę. ESP šifro pakeitimas neparenka išdavėjo parašo, o CA tikrinimo sušvelninimas neprideda internetinio metodo, dėl kurio partneriai niekada nebuvo susiderėję. Kai bilietas teigia parašo neatitikimą, tikrai neteisinga eilutė beveik niekada nėra pirmoji.
Išspręskite seną atvejį nesusilpnindami PKI
Senesnis partneris gali pasiūlyti tik schemą, kurios jūsų politika nebeleidžia. Pasirinkimai yra laike apribota suderinamumo išimtis, kliento atnaujinimas arba kitokia autentifikavimo tvarka tik tam partneriui. PKI perstatymas aplink silpnesnį sertifikato parašą neištaiso internetinių mainų apribojimo ir susilpnina visas kitas paslaugas, kurios pasitiki ta pačia CA. Užsirašykite, kurią eilutę pakeitėte ir kada išimtis baigiasi.
Tada iš naujo paleiskite abu skaitymus iš viršaus, nes vienos eilutės pakeitimas gali pastumti tai, dėl ko deramasi kitoje. Visas inventorius yra dvi komandos ir viena lentelė, ir tai tas pats darbas, nesvarbu, ar partneris yra maršrutizatorius, nešiojamasis kompiuteris ar prietaisas.