IKEv2 għandu żewġ firem: iċ-ċertifikat u IKE_AUTH
Is-CA tiffirma ċ-ċertifikat, u l-pari jiffirma l-iskambju IKE_AUTH tiegħu b'skema tiegħu stess. Aqra kull waħda mill-qasam tagħha, imbagħad irreġistra t-tnejn.
It-ticket tiegħek jgħid li ċ-ċertifikat huwa SHA-256 filwaqt li l-log tal-gateway isemmi algoritmu ta' firma differenti, u xi ħadd diġà abbozza talba biex jerġa' joħroġ is-CA. Qabel ma dik it-talba tmur imkien, ifred iż-żewġ firem: waħda hija l-bolla tal-emittent fuq ċavetta pubblika, l-oħra hija il-prova tal-pari li għandu ċ-ċavetta privata li taqbel waqt IKE_AUTH. Komponenti differenti jagħżluhom, u huwa permess li jkunu differenti. Li taqra kull waħda mill-post fejn tgħix jeħtieġ żewġ kmandi u tabella waħda.
Aqra l-firma tal-emittent miċ-ċertifikat
Is-CA tqiegħed il-firma tagħha fuq rabta bejn identità u ċavetta. Dik il-firma tirreġistra dak li għamlet is-CA mal-ħruġ, mhux dak li se jagħmel is-suġġett meta jgħaqqad, għalhekk l-algoritmu tagħha jiddeskrivi l-għażla tal-hash u taċ-ċavetta tas-CA stess. Ċavetta tas-suġġett ta' tip wieħed tista' tinsab taħt ċavetta tas-CA ta' tip ieħor mingħajr ebda inkonsistenza, u rotazzjoni taċ-ċavetta tas-CA hija rutina u mhux ħsara. Aqra ż-żewġ oqsma u għandek nofs l-inventarju:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Ikteb iż-żewġ tikketta bħala entrati separati. L-ewwel tiddeskrivi s-CA, it-tieni tiddeskrivi ċ-ċavetta tas-suġġett, u l-ebda waħda ma tbassar il-firma online.
Aqra l-firma online mill-iskambju IKE
Waqt l-awtentikazzjoni kull pari jiffirma d-data tal-iskambju b'ċavetta privata tiegħu, u n-naħa l-oħra tivverifika dik il-prova kontra l-identità, il-katina ta' fiduċja u l-politika taċ-ċertifikat. F'RSA l-padding u l-hash jappartjenu għal din l-iskema online, għalhekk ċavetta itwal jew ċertifikat SHA-256 ġdid ma jistgħux waħedhom jagħżlu RSA-PSS għall-firma tal-awtentikazzjoni. Il-metodu nnegozjat jidher fil-log tad-daemon jew fil-lista tal-konnessjonijiet tiegħu, qatt fiċ-ċertifikat. Staqsi lil kull naħa x'nnegozjat, għax iż-żewġ direzzjonijiet jistgħu jkunu differenti.
ipsec statusall | grep -i "auth\|proposal"Meta naħa ssemmi skema li l-oħra ma tistax tipproduċi, int sibt id-diskrepanza li kienet dwarha t-ticket. Li terġa' toħroġ is-CA hija t-tiswija żbaljata għaliha, għax iċ-ċertifikat qatt ma kien dak li falla.
X'ibiddel RFC 7427, u x'ma jibdilx
Il-metodi oriġinali huma numerati skont il-kombinazzjoni tal-algoritmi f'RFC 7296. L-estensjoni tal-firma RFC 7427 aktar tard iżżid metodu Digital Signature ġenerali b'sinjalazzjoni tal-appoġġ tal-hash tal-firma, għalhekk hash ġdid m'għadux jeħtieġ numru ta' metodu tiegħu. Dan jiġi nnegozjat, mhux preżunt: pari ma jiksebx l-estensjoni għax il-librerija tiegħu tista' tanalizza l-istess ċertifikati, u pari li jimplimenta biss il-metodi oriġinali jġiegħel il-gateway iżomm waħda minnhom. Dan huwa skambju ta' politika b'kost ta' kompatibilità, mhux difett.
L-appoġġ huwa għal kull direzzjoni u għal kull konnessjoni, għalhekk ittestja l-bini li għandek quddiemek minflok tafda dikjarazzjoni fil-livell tal-familja. Matriċi tal-kapaċitajiet miktuba tliet snin ilu tiddeskrivi bini ta' tliet snin.
Qiegħed erba' ringieli fl-inventarju
Ir-rekord li jtemm il-argument għandu erba' linji, kull waħda moqrija minn post differenti u kull waħda mibdula minn persuna differenti. Imlejha qabel tiddeċiedi xejn, għax ir-ringiela li hija ħażina hija dik li tagħżel it-tiswija.
| Oġġett | Minn fejn taqrah | Min jibdlu |
|---|---|---|
| firma tal-emittent taċ-ċertifikat | il-qasam Signature Algorithm taċ-ċertifikat | l-operatur tas-CA, mal-ħruġ |
| ċavetta pubblika tas-suġġett | il-qasam Public Key Algorithm taċ-ċertifikat | min jiġġenera ċ-ċavetta tas-suġġett |
| skema tal-awtentikazzjoni IKE | log tad-daemon jew lista tal-konnessjonijiet, avviż ta' auth u signature-hash | il-profil IKE fuq iż-żewġ pari |
| algoritmi tal-protezzjoni IKE u ESP | il-lista tal-proposti tal-konnessjoni | il-profil IPsec, skont id-direzzjoni |
Kull ringiela ġġorr il-konsegwenza ta' kompatibilità tagħha. Bidla fis-sifratur ESP ma tagħżilx il-firma tal-emittent, u t-tħaffir tal-validazzjoni tas-CA ma jżidx metodu online li l-pari qatt ma nnegozjaw. Meta ticket isostni diskrepanza fil-firma, ir-ringiela li tassew hija ħażina kważi qatt m'hija l-ewwel waħda.
Solvi l-każ antik mingħajr ma dgħajjef il-PKI
Pari eqdem jista' joffri biss skema li l-politika tiegħek m'għadhiex tippermetti. L-għażliet huma eċċezzjoni ta' kompatibilità b'limitu ta' żmien, aġġornament tal-klijent, jew arranġament ta' awtentikazzjoni differenti għal dak il-pari biss. Li terġa' tibni l-PKI madwar firma taċ-ċertifikat aktar dgħajfa ma tiffissax limitazzjoni fl-iskambju online u ddgħajjef kull servizz ieħor li jafda fl-istess CA. Irreġistra liema ringiela biddilt u meta tiskadi l-eċċezzjoni.
Imbagħad erġa' għaddi ż-żewġ qari mill-bidu, għax bidla f'ringiela waħda tista' ċċaqlaq dak li jiġi nnegozjat f'oħra. L-inventarju kollu huwa żewġ kmandi u tabella waħda, u l-istess xogħol huwa kemm jekk il-pari huwa router, laptop jew apparat.