Android IKEv2 uzticēšanās kļūda: sūtiet starpposma CA, nevis saknes sertifikātu
Tālrunis noraida vārteju, jo saņemtā ķēde beidzas pārāk agri. Izlemiet: sūtīt starpposma sertifikātu, labot identitāti vai mainīt atslēgas tipu.
Tālrunis atsakās savienoties un izdrukā No trusted RSA public key found for vpn.example.net, kamēr tas pats vārtejas sertifikāts darbojas klēpjdatorā tajā pašā tīklā. Kārdinošais solis ir izsniegt sertifikātu no jauna. Pirms to darāt, noskaidrojiet, kurš no trim bojājumiem jums ir, jo tikai viens no tiem attiecas uz sertifikāta saturu. Ziņojums aptver nepilnu ķēdi, identitātes neatbilstību un neatbalstītu atslēgu vai parakstu, un katram ir atšķirīgs labojums.
Trīs bojājumi aiz viena ziņojuma
Android veido ķēdi no vārtejas sertifikāta līdz VPN profilā izvēlētajai CA, pēc tam pārbauda servera nosaukumu pret profilu. Paziņojums ziņo par iznākumu, nevis posmu. Uzticēšanās bojājums nozīmē, ka ķēdi nevarēja pabeigt no apmaiņā piegādātajiem sertifikātiem; identitātes bojājums nozīmē, ka ķēde tika validēta, bet nosaukums neatbilda; algoritma bojājums nozīmē, ka ierīce vai profils nepieņem atslēgas tipu vai parakstu.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
Izlemiet, pamatojoties uz pierādījumiem, nevis mēģinot labojumus pēc kārtas. Viens mēģinājums ar žurnāla līmeni 2 pret dēmonu parāda, kurā rindā jūs esat, un tas izmaksā mazāk nekā sertifikāta atkārtota izsniegšana, kas nekad nebija nepareizs.
Vispirms izlemiet: vai atnāca visa ķēde?
strongSwan sūta sertifikātu, kas konfigurēts šim savienojumam, un starpposma sertifikāti ir atsevišķi akreditācijas dati. Tie ir jāielādē kā CA sertifikāti, pirms dēmons tos var ievietot kravā, tāpēc izkārtojums, kur servera sertifikātu paraksta starpposma sertifikāts, sakne ir uzticēšanās enkurs un starpposma sertifikāts atrodas tikai CA būvēšanas direktorijā, rada tieši šo bojājumu: līnijā tikai lapa, tālrunī ķēde beidzas agri.
Pārbaudiet, kas dēmonam ir, ar swanctl --list-certs swanctl izvietojumā vai ipsec listcerts ar vecāko starter. Starpposma sertifikātam jāparādās kā CA sertifikātam ar sakni virs tā. Ja tā trūkst, neviena klienta opcija nepalīdzēs; ja tas ir, pārejiet pie nākamā jautājuma.
Pēc tam pārbaudiet, vai tas tiks nosūtīts. swanctl.conf atsauce dokumentē send_cert, kura noklusējums ifasked sūta sertifikātus tikai tad, kad vienaudzis ir jautājis; always sūta vienmēr. Mantotais ekvivalents ir leftsendcert=always failā ipsec.conf. Šis iestatījums kontrolē sūtīšanu, nevis pieejamību, tāpēc tas nevar kompensēt starpposma sertifikātu, ko dēmons nekad nav ielādējis.
Ja ķēde ir īsa, ielādējiet starpposma sertifikātu tur, kur dēmons meklē
Ievietojiet starpposma sertifikātu CA direktorijā, nevis blakus lapai: /etc/ipsec.d/cacerts ipsec.conf iestatījumam, /etc/swanctl/x509ca swanctl vai ceļu, ko aizstāj jūsu pakotne. Pārlādējiet konfigurāciju un vēlreiz uzskaitiet sertifikātus. Dažas versijas arī sūta komplektu, kas satur ķēdi lapas failā, bet CA direktorijs ir pārnesams risinājums dažādās versijās un pakotnēs.
Pārbaudiet arī no klienta puses. Tālrunis redz tikai to, ko atnesa apmaiņa, tāpēc dēmona žurnālam 2. līmenī jāparāda starpposma sertifikāts pārraidītajos sertifikātos. Ja žurnāls to rāda un tālrunis joprojām neizdodas, jūs esat citā tabulas rindā, un turpmāka CA failu pielāgošana iznākumu nemainīs.
Ja ķēde ir pilnīga, pārtrauciet sertifikātu rediģēšanu
Identitātes bojājums ir neatbilstība starp nosaukumu VPN profilā un nosaukumu sertifikātā. Android salīdzina jūsu konfigurēto servera identitāti ar sertifikātu, kuru tas validēja, tāpēc profils, kas norāda uz adresi, kamēr sertifikāts nosauc resursdatora nosaukumu, vai profils, kas nosauc resursdatora nosaukumu, kuru sertifikāts neaptver, neizdodas pēc veiksmīgas ķēdes validācijas. Izlabojiet nepareizo pusi un uzturiet profilu un sertifikātu saskaņotus, kad kāda no tām mainās.
Algoritma bojājums parādās ar derīgu ķēdi un atbilstošu nosaukumu. Android laidieni atšķiras ar to, kādus atslēgu tipus un paraksta shēmas tie pieņem, un pats profila tips ierobežo opcijas. Ja vārteja izmanto vecāku vai neparastu kombināciju, salīdziniet to ar to, ko atbalsta ierīce, pirms pieņemt, ka sertifikāts ir bojāts. Dēmona žurnāls parādīs, ka rokasspiediens virzās tālāk nekā uzticēšanās gadījumā, un tas ir signāls, ka ķēde vairs nav problēma.
Neinstalējiet starpposma sertifikātu kā lietotāja sakni tālrunī
Trūkstošā starpposma sertifikāta instalēšana tālrunī kā lietotāja sertifikāta likvidē brīdinājumu un maina tālruņa uzticēšanās modeli katrai programmai, kas pieņem lietotāja instalētas saknes. Tā arī slēpj piegādes kļūdu, kas skars nākamo klientu, un atstāj vārteju sūtām nepilnu ķēdi katram nākamajam ierīcei. Ilgtspējīgais labojums ir serverī, vienreiz, visiem klientiem.
Turiet trīs lēmumus atsevišķi izmaiņu žurnālā: kuri sertifikāti tika pārraidīti, kura identitāte tika salīdzināta un kurš algoritms tika saskaņots. Vārteja, kas vienmēr sūta pilnu ķēdi, profils, kas pareizi nosauc sertifikātu, un atslēgas tips, ko atbalsta parks, ir trīs mazi fakti, un tie ir viss šis bojājums.