strongSwan: тип на клуч, вчитувач и погрешен backend

PEM е контејнер, а не тип на клуч. Споредете го јавниот клуч од сертификатот со приватниот, потоа вчитајте го преку backend што навистина го чита.

Наставките на датотеките не ги одредуваат алгоритмите на клучевите, а .pem обвивката може да содржи RSA или ECDSA материјал. PEM опишува како се завиткуваат бајтите, додека RSA и ECDSA именуваат различни алгоритми, а датотеката PKCS12 е трето нешто. strongSwan вчитува акредитиви преку приклучоци и конфигурациски backend, па сертификатот може да се појави во список додека приватниот клуч никогаш не стане употреблив. Одделете ги тие слоеви пред да уредите која било тајна.

Кодирање, алгоритам и пакување се три слоја

Датотеката со клуч има кодирање, алгоритам и често контејнер. PEM е познатата base64 обвивка; DER е нејзиниот бинарен еквивалент; PKCS12 спојува сертификат со неговиот клуч и синџир. Датотеката со синџир на сертификати е уште еден контејнер и обично не содржи никаков приватен клуч. Ниту една од тие ознаки не кажува дали материјалот внатре е RSA или ECDSA.

Прочитајте го алгоритмот од самиот објект. Маркетинг името на давателот или наставката на датотеката не се доказ, бидејќи истиот издавач може да издава различни типови клучеви.

Споредете ги јавните клучеви пред да го обвините вчитувачот

Сертификат што се вчитува докажува дека сертификатот е анализиран, а не дека неговиот приватен клуч е присутен или употреблив. Изведете го јавниот клуч од сертификатот и од предложениот приватен клуч, потоа споредете ги двата отпечатоци. Ако било кое извлекување не успее, застанете таму, бидејќи отпечаток на празен излез не докажува ништо. Совпаѓачките отпечатоци докажуваат дека парот припаѓа заедно, и ништо повеќе за тоа дали сертификатот одговара на работата.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Втората команда допира приватен материјал на вашата машина, но издава само јавната половина. Оставете така и никогаш не ставајте приватен клуч во тикет. Ако клучот е шифриран, оставете поддржаната алатка да ја побара лозинката наместо да ја ставате на командната линија каде списокот на процеси може да ја открие.

Стари ipsec.secrets или swanctl акредитиви

strongSwan има два често користени патеки на акредитиви. Стариот starter стек чита записи специфични за типот од ipsec.secrets, и секој запис мора да го наведе правилниот тип за материјалот. swanctl и vici стекот вчитува клучеви од својот директориум со акредитиви преку својата конфигурација. Уредувањето на датотеката што работи backend не ја чита не менува ништо.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Откријте кој backend навистина работи, потоа ставете го клучот таму каде што гледа тој backend. стариот прирачник на strongSwan 5.9 ги дефинира записите на тајни специфични за типот, и тоа не е swanctl документација. Мешањето на двете создава демон што игнорира датотека што администраторот ја смета за авторитативна. Претоварање што не пријавува грешка значи само дека конфигурацијата е анализирана.

Читајте го настанот за вчитување и резултатот од автентикација

По контролирано претоварање, прочитајте го сопствениот излез за вчитување на демонот за конкретниот клуч. Сертификат наведен во испис на состојба не покажува дека приватниот клуч бил поврзан со него.

Ако клиентот сѐ уште не успева, држете го настанот на серверот и грешката на клиентот одделно. Валидација на синџир, совпаѓање на идентитет и компатибилност на методи се подоцнежни прашања со свои докази. Запишете го резултатот со точната патека на клучот и отпечатокот што го споредивте, бидејќи инаку следната смена ќе го повтори истото претоварање. Замената на CA не е првата реакција на несовпаѓање на вчитувачот.

Поврзани статии