strongSwan send_cert: meta jintbagħat iċ-ċertifikat IKE

Il-gateways jirreġistraw fallimenti ta' awtentikazzjoni marbuta maċ-ċertifikati, u l-ewwel reazzjoni hija li żżid CA oħra mar-riċevitur. Dan jassumi li ċ-ċertifikat wasal u ġie miċħud. Il-possibbiltà l-oħra hija li qatt ma ntbagħat, u dan jiddeterminah il-politika tal-konnessjoni tal-mittent. Iddetermina liema miż-żewġ każijiet seħħ qabel ma tbiddel il-fiduċja.

X'jikkontrolla send_cert tassew

L-awtentikazzjoni b'ċertifikat teħtieġ li ċ-ċertifikat tal-entità finali tal-peer jasal għan-naħa l-oħra permezz tal-iskambju IKE jew permezz ta' provvediment minn qabel. Fi swanctl, is-setting tal-konnessjoni send_cert jiddetermina jekk dan il-punt tat-tarf jinkludix it-tagħbija taċ-ċertifikat tiegħu: qatt, dejjem jew ifasked. Il-valur awtomatiku ifasked jibagħtu bħala tweġiba għal talba għaċ-ċertifikat mill-peer. Li titlob ċertifikat hija setting separata, għax mitlub iċ-ċertifikat tan-naħa l-oħra mhuwiex l-istess bħal li toffri tiegħek.

L-implimentazzjonijiet il-qodma ta' ipsec.conf kienu jużaw leftsendcert u rightsendcert, u dawn l-ismijiet jikkorrispondu għar-rwoli lokali u remoti, mhux direttament għal swanctl.

Aqra prova waħda qabel ma tbiddel il-konnessjoni

Iddijanjostika minn prova waħda kkontrollata, mhux mill-impressjoni ġenerali li huma involuti ċ-ċertifikati. Kemm il-politika kif ukoll l-assoċjazzjoni attiva jistgħu jiġu spezzjonati.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Il-lista tal-konnessjonijiet turi l-valur ikkonfigurat ta' send_cert, u l-lista tal-SA turi liema konnessjonijiet fil-fatt tlew. Il-log iżid dettalji tan-negozjati: jekk waslitx talba għaċ-ċertifikat u jekk ħarġitx tagħbija taċ-ċertifikat. Falliment ġeneriku ta' awtentikazzjoni ma jidentifikax problema ta' twassil, mela fittex l-iskambju speċifiku qabel ma tikkonkludi xi ħaġa. Innota t-timestamp tal-prova sabiex it-tieqa tal-log tkopri l-handshake kollu.

Il-fiduċja tar-riċevitur hija deċiżjoni separata

It-twassil u l-fiduċja huma propjetajiet differenti, u li ssewwi waħda ma ssewwix l-oħra. Riċevitur irid ikollu l-ankra tal-fiduċja maħsuba, jirċievi katina użabbli u jaqbel mal-identità mistennija tal-peer. Ċertifikat tal-entità finali li jasal mingħajr il-ċertifikat intermedju tiegħu xorta jfalli verifika stretta tal-katina. Bil-maqlub, l-installazzjoni ta' CA bl-ebda mod ma ġġiegħel lil peer jibgħat iċ-ċertifikat tiegħu.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

L-ispezzjoni turi liema emittent iffirma ċ-ċertifikat u meta jiskadi, u għal dan għandha tikkorrispondi l-ankra tar-riċevitur. Afda fl-CA emittenti li għandha l-implimentazzjoni, mhux f'kull intermedju fil-katina, għax li tippromwovi kull intermedju għal għerq twessa' l-fiduċja ferm lil hinn minn peer wieħed. Żomm il-verifika tal-identità attiva, għax konnessjoni li tirnexxi biss bil-validazzjoni mitfija mhijiex rimedju. Fejn il-katina mhijiex sħiħa, sewwi l-provvediment minflok il-politika tal-mittent.

Ibdel il-mittent biss b'evidenza

Meta l-log juri li ċ-ċertifikat qatt ma ntbagħat u r-riċevitur fil-fatt talbu, it-tqegħid ta' send_cert fuq always hija bidla ġustifikata għal dik il-konnessjoni. Applikaha fil-konfigurazzjoni ta' swanctl, erġa' għabbi l-konnessjonijiet u stabbilixxi sessjoni ġdida minflok ma terġa' tuża l-SA eżistenti. Ikkonferma li t-tagħbija taċ-ċertifikat issa tidher u li r-riċevitur jaċċettaha kontra l-ankra maħsuba. Jekk xejn ma jinbidel, il-ħsara kienet xorta waħda fuq in-naħa tal-fiduċja u s-setting tal-mittent ma kinitx il-kawża.

Ikteb l-iskambju osservat, l-ankra u l-verifika li tirriżulta fir-rekord tal-bidliet. Rimedju taċ-ċertifikat li ma jistax jiġi deskritt b'dawk it-termini huwa koinċidenza.