strongSwan: түлхүүрийн төрөл, ачигч ба буруу backend

PEM бол сав, түлхүүрийн төрөл биш. Гэрчилгээний нийтийн түлхүүрийг хувийн түлхүүртэй харьцуулж, дараа нь түүнийг үнэхээр уншдаг backend-ээр ачаална уу.

Файлын өргөтгөл түлхүүрийн алгоритмыг тодорхойлдоггүй бөгөөд .pem бүрхүүлд RSA эсвэл ECDSA материал агуулагдаж болно. PEM байтууд хэрхэн ороогдсоныг тодорхойлдог бол RSA болон ECDSA нь өөр өөр алгоритмын нэр бөгөөд PKCS12 файл дахин гуравдахь зүйл юм. strongSwan нэвтрэх мэдээллийг залгуур болон тохиргооны backend-ээр ачаалдаг тул гэрчилгээ жагсаалтад харагдах боловч хувийн түлхүүр хэзээ ч ашиглагдахгүй байж болно. Аливаа нууцыг засахын өмнө эдгээр давхаргыг тусгаарлаарай.

Кодчилол, алгоритм ба савлагаа нь гурван давхарга

Түлхүүрийн файл кодчилол, алгоритм, ихэвчлэн савтай байдаг. PEM бол танил base64 бүрхүүл; DER бол түүний хоёртын хувилбар; PKCS12 нь гэрчилгээг түлхүүр, гинжин хэлхээтэй нь нэгтгэдэг. Гэрчилгээний гинжин хэлхээний файл өөр нэг сав бөгөөд ихэвчлэн ямар ч хувийн түлхүүр агуулдаггүй. Эдгээр шошгын аль нь ч доторх материал RSA эсвэл ECDSA эсэхийг хэлдэггүй.

Алгоритмыг объектоос нь уншина уу. Нийлүүлэгчийн маркетингийн нэр эсвэл файлын өргөтгөл нь нотолгоо биш, учир нь нэг издатель өөр өөр төрлийн түлхүүр олгож болно.

Ачигчийг буруутгахаас өмнө нийтийн түлхүүрүүдийг харьцуул

Ачаалагдсан гэрчилгээ нь гэрчилгээг задалсан гэдгийг нотолдог, харин хувийн түлхүүр байгаа эсвэл ашиглагдах эсэхийг биш. Гэрчилгээ болон санал болгож буй хувийн түлхүүрээс нийтийн түлхүүрийг гаргаж, дараа нь хоёр хураангуйг харьцуул. Аль нэг гаргалт амжилтгүй бол тэнд зогсо, учир нь хоосон гаралтын хураангуй юу ч нотолдоггүй. Тохирсон хураангуй нь хос нэгдмэл болохыг нотолно, гэрчилгээ ажилд тохирох эсэх талаар өөр юу ч биш.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Хоёр дахь тушаал таны машин дээрх хувийн материалд хүрдэг боловч зөвхөн нийтийн хагасыг гаргадаг. Ингэж үлдээж, хувийн түлхүүрийг тасалбарт хэзээ ч нааж болохгүй. Түлхүүр шифрлэгдсэн бол дэмжигдсэн хэрэгсэл нууц үгийг асуухыг зөвшөөрч, процессын жагсаалтад ил болох тушаалын мөрөнд бүү тавь.

Хуучин ipsec.secrets эсвэл swanctl нэвтрэх мэдээлэл

strongSwan-д нэвтрэх мэдээллийн хоёр түгээмэл зам бий. Хуучин starter стек төрөл тус бүрийн бичлэгийг дараахаас уншдаг: ipsec.secrets, мөн бичлэг бүр материалд тохирох төрлийг зааж өгөх ёстой. swanctl болон vici стек түлхүүрүүдийг өөрийн нэвтрэх мэдээллийн хавтаснаас өөрийн тохиргоогоор ачаалдаг. Ажиллаж буй backend уншдаггүй файлыг засварлах нь юу ч өөрчлөхгүй.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Аль backend үнэхээр ажиллаж байгааг олж мэдээд, түлхүүрийг тэр backend хардаг газарт тавь. strongSwan 5.9 хуучин гарын авлага төрөл тус бүрийн нууц бичлэгийг тодорхойлдог бөгөөд энэ нь swanctl баримтжуулалт биш. Хоёулыг холих нь администраторын эрх мэдэлтэй гэж үздэг файлыг үл тоомсорлодог демон үүсгэдэг. Алдаа мэдээлэхгүй дахин ачаалалт нь тохиргоо задалсан гэсэн үг л юм.

Ачааллын үйл явдал ба нэвтрүүлэлтийн үр дүнг унш

Хяналттай дахин ачаалсны дараа тодорхой түлхүүрийн хувьд демоны өөрийн ачааллын гаралтыг унш. Төлөвийн дамп дээр жагсаасан гэрчилгээ нь хувийн түлхүүр түүнтэй таарсныг харуулдаггүй.

Хэрэв клиент амжилтгүй хэвээр байвал серверийн үйл явдал болон клиентийн алдааг тусдаа байлга. Гинжин хэлхээний баталгаажуулалт, таних тэмдгийн таарц болон аргын нийцэл нь өөрийн нотолгоотой хожуу асуултууд юм. Үр дүнг тодорхой түлхүүрийн зам болон харьцуулсан хураангуйтайгаа хамт бичиж үлдээ, тэгэхгүй бол дараагийн ээлж мөн адил дахин ачааллыг давтана. Ачигчийн зөрүүнд CA-г солих нь эхний хариу үйлдэл биш.

Холбоотой нийтлэлүүд