IKEv2 ਵਿੱਚ ਦੋ ਦਸਤਖ਼ਤ ਹਨ: ਸਰਟੀਫਿਕੇਟ ਅਤੇ IKE_AUTH
CA ਸਰਟੀਫਿਕੇਟ ਉੱਤੇ ਦਸਤਖ਼ਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਪੀਅਰ ਆਪਣੀ ਹੀ ਸਕੀਮ ਨਾਲ ਆਪਣੇ IKE_AUTH ਵਟਾਂਦਰੇ ਉੱਤੇ ਦਸਤਖ਼ਤ ਕਰਦਾ ਹੈ। ਹਰ ਇੱਕ ਨੂੰ ਉਸ ਦੇ ਆਪਣੇ ਖੇਤਰ ਤੋਂ ਪੜ੍ਹੋ, ਫਿਰ ਦੋਵੇਂ ਦਰਜ ਕਰੋ।
ਤੁਹਾਡੀ ਟਿਕਟ ਕਹਿੰਦੀ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ SHA-256 ਹੈ, ਜਦੋਂ ਕਿ ਗੇਟਵੇ ਲੌਗ ਕੋਈ ਹੋਰ ਦਸਤਖ਼ਤ ਐਲਗੋਰਿਦਮ ਦੱਸਦਾ ਹੈ, ਅਤੇ ਕਿਸੇ ਨੇ ਪਹਿਲਾਂ ਹੀ CA ਨੂੰ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰਨ ਦੀ ਬੇਨਤੀ ਤਿਆਰ ਕਰ ਲਈ ਹੈ। ਉਹ ਬੇਨਤੀ ਕਿਤੇ ਵੀ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਦਸਤਖ਼ਤ ਵੱਖ ਕਰੋ: ਇੱਕ ਜਨਤਕ ਕੁੰਜੀ ਉੱਤੇ ਜਾਰੀਕਰਤਾ ਦੀ ਮੋਹਰ ਹੈ, ਦੂਜਾ IKE_AUTH ਦੌਰਾਨ ਪੀਅਰ ਦਾ ਇਹ ਸਾਬਤ ਕਰਨਾ ਕਿ ਉਸ ਕੋਲ ਮਿਲਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਹੈ। ਵੱਖ-ਵੱਖ ਹਿੱਸੇ ਇਹਨਾਂ ਨੂੰ ਚੁਣਦੇ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਦਾ ਵੱਖਰਾ ਹੋਣਾ ਮਨਜ਼ੂਰ ਹੈ। ਹਰ ਇੱਕ ਨੂੰ ਉੱਥੋਂ ਪੜ੍ਹਨ ਵਿੱਚ, ਜਿੱਥੇ ਇਹ ਰਹਿੰਦਾ ਹੈ, ਦੋ ਕਮਾਂਡ ਅਤੇ ਇੱਕ ਸਾਰਣੀ ਲੱਗਦੀ ਹੈ।
ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਜਾਰੀਕਰਤਾ ਦਾ ਦਸਤਖ਼ਤ ਪੜ੍ਹੋ
CA ਆਪਣਾ ਦਸਤਖ਼ਤ ਪਛਾਣ ਅਤੇ ਕੁੰਜੀ ਵਿਚਕਾਰਲੇ ਬੰਧਨ ਉੱਤੇ ਲਾਉਂਦਾ ਹੈ। ਉਹ ਦਸਤਖ਼ਤ ਦਰਜ ਕਰਦਾ ਹੈ ਕਿ ਜਾਰੀ ਕਰਦੇ ਸਮੇਂ CA ਨੇ ਕੀ ਕੀਤਾ, ਇਹ ਨਹੀਂ ਕਿ ਵਿਸ਼ਾ ਜੁੜਦੇ ਸਮੇਂ ਕੀ ਕਰੇਗਾ, ਇਸ ਲਈ ਇਸ ਦਾ ਐਲਗੋਰਿਦਮ CA ਦੀ ਆਪਣੀ ਹੈਸ਼ ਅਤੇ ਕੁੰਜੀ ਦੀ ਚੋਣ ਦੱਸਦਾ ਹੈ। ਇੱਕ ਕਿਸਮ ਦੀ ਵਿਸ਼ਾ ਕੁੰਜੀ ਕਿਸੇ ਵੀ ਅਸੰਗਤੀ ਤੋਂ ਬਿਨਾਂ ਦੂਜੀ ਕਿਸਮ ਦੀ CA ਕੁੰਜੀ ਹੇਠ ਹੋ ਸਕਦੀ ਹੈ, ਅਤੇ CA ਕੁੰਜੀ ਦਾ ਘੁੰਮਣਾ ਗਲਤੀ ਨਹੀਂ ਸਗੋਂ ਰੁਟੀਨ ਕੰਮ ਹੈ। ਦੋਵੇਂ ਖੇਤਰ ਪੜ੍ਹੋ ਅਤੇ ਤੁਹਾਡੇ ਕੋਲ ਅੱਧੀ ਸੂਚੀ ਆ ਜਾਂਦੀ ਹੈ:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"ਦੋਵੇਂ ਲੇਬਲ ਵੱਖਰੀਆਂ ਐਂਟਰੀਆਂ ਵਜੋਂ ਲਿਖੋ। ਪਹਿਲਾ CA ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਦੂਜਾ ਵਿਸ਼ਾ ਦੀ ਕੁੰਜੀ ਦਾ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਔਨਲਾਈਨ ਦਸਤਖ਼ਤ ਦੀ ਭਵਿੱਖਬਾਣੀ ਨਹੀਂ ਕਰਦਾ।
IKE ਵਟਾਂਦਰੇ ਤੋਂ ਔਨਲਾਈਨ ਦਸਤਖ਼ਤ ਪੜ੍ਹੋ
ਪ੍ਰਮਾਣਿਕਤਾ ਦੌਰਾਨ ਹਰ ਪੀਅਰ ਆਪਣੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨਾਲ ਵਟਾਂਦਰੇ ਦੇ ਡੇਟਾ ਉੱਤੇ ਦਸਤਖ਼ਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਪਾਸਾ ਉਸ ਸਬੂਤ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪਛਾਣ, ਭਰੋਸੇ ਦੀ ਲੜੀ ਅਤੇ ਨੀਤੀ ਵਿਰੁੱਧ ਜਾਂਚਦਾ ਹੈ। RSA ਵਿੱਚ ਪੈਡਿੰਗ ਅਤੇ ਹੈਸ਼ ਇਸੇ ਔਨਲਾਈਨ ਸਕੀਮ ਦੇ ਹਨ, ਇਸ ਲਈ ਲੰਮੀ ਕੁੰਜੀ ਜਾਂ ਨਵਾਂ SHA-256 ਸਰਟੀਫਿਕੇਟ ਆਪਣੇ ਆਪ ਪ੍ਰਮਾਣਿਕਤਾ ਦਸਤਖ਼ਤ ਲਈ RSA-PSS ਨਹੀਂ ਚੁਣ ਸਕਦਾ। ਗੱਲਬਾਤ ਨਾਲ ਤੈਅ ਵਿਧੀ ਡੈਮਨ ਲੌਗ ਜਾਂ ਉਸ ਦੀ ਕਨੈਕਸ਼ਨ ਸੂਚੀ ਵਿੱਚ ਦਿਖਦੀ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਕਦੇ ਨਹੀਂ। ਹਰ ਪਾਸੇ ਨੂੰ ਪੁੱਛੋ ਕਿ ਉਸ ਨੇ ਕੀ ਤੈਅ ਕੀਤਾ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵੱਖਰੀਆਂ ਹੋ ਸਕਦੀਆਂ ਹਨ।
ipsec statusall | grep -i "auth\|proposal"ਜਦੋਂ ਇੱਕ ਪਾਸਾ ਅਜਿਹੀ ਸਕੀਮ ਦੱਸਦਾ ਹੈ ਜੋ ਦੂਜਾ ਬਣਾ ਨਹੀਂ ਸਕਦਾ, ਤਾਂ ਤੁਸੀਂ ਉਹੀ ਅਸੰਗਤੀ ਲੱਭ ਲਈ ਜਿਸ ਬਾਰੇ ਟਿਕਟ ਸੀ। CA ਨੂੰ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰਨਾ ਇਸ ਦਾ ਗਲਤ ਇਲਾਜ ਹੈ, ਕਿਉਂਕਿ ਅਸਫਲ ਹੋਇਆ ਸਰਟੀਫਿਕੇਟ ਕਦੇ ਨਹੀਂ ਸੀ।
RFC 7427 ਕੀ ਬਦਲਦਾ ਹੈ ਅਤੇ ਕੀ ਨਹੀਂ
ਮੂਲ ਵਿਧੀਆਂ RFC 7296 ਵਿੱਚ ਹਰ ਐਲਗੋਰਿਦਮ ਸੰਜੋਗ ਅਨੁਸਾਰ ਨੰਬਰ ਦਿੱਤੀਆਂ ਹੋਈਆਂ ਹਨ। ਪਿਛਲਾ RFC 7427 ਦਸਤਖ਼ਤ ਐਕਸਟੈਂਸ਼ਨ ਦਸਤਖ਼ਤ-ਹੈਸ਼ ਸਮਰਥਨ ਦੇ ਸੰਕੇਤ ਨਾਲ ਆਮ Digital Signature ਵਿਧੀ ਜੋੜਦਾ ਹੈ, ਇਸ ਲਈ ਨਵੀਂ ਹੈਸ਼ ਨੂੰ ਆਪਣਾ ਵਿਧੀ ਨੰਬਰ ਨਹੀਂ ਚਾਹੀਦਾ। ਇਹ ਗੱਲਬਾਤ ਨਾਲ ਤੈਅ ਹੁੰਦਾ ਹੈ, ਮੰਨਿਆ ਨਹੀਂ ਜਾਂਦਾ: ਪੀਅਰ ਨੂੰ ਐਕਸਟੈਂਸ਼ਨ ਇਸ ਲਈ ਨਹੀਂ ਮਿਲਦਾ ਕਿ ਉਸ ਦੀ ਲਾਇਬ੍ਰੇਰੀ ਉਹੀ ਸਰਟੀਫਿਕੇਟ ਪਾਰਸ ਕਰ ਸਕਦੀ ਹੈ, ਅਤੇ ਜੋ ਪੀਅਰ ਸਿਰਫ਼ ਮੂਲ ਵਿਧੀਆਂ ਲਾਗੂ ਕਰਦਾ ਹੈ ਉਹ ਗੇਟਵੇ ਨੂੰ ਉਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਰੱਖਣ ਲਈ ਮਜਬੂਰ ਕਰਦਾ ਹੈ। ਇਹ ਅਨੁਕੂਲਤਾ ਦੀ ਲਾਗਤ ਵਾਲੀ ਨੀਤੀ-ਅਦਲਾ-ਬਦਲੀ ਹੈ, ਗਲਤੀ ਨਹੀਂ।
ਸਮਰਥਨ ਹਰ ਦਿਸ਼ਾ ਅਤੇ ਹਰ ਕਨੈਕਸ਼ਨ ਅਨੁਸਾਰ ਹੈ, ਇਸ ਲਈ ਪਰਿਵਾਰ-ਪੱਧਰ ਦੇ ਦਾਅਵੇ ਉੱਤੇ ਭਰੋਸਾ ਕਰਨ ਦੀ ਥਾਂ ਆਪਣੇ ਸਾਹਮਣੇ ਦਾ ਬਿਲਡ ਜਾਂਚੋ। ਤਿੰਨ ਸਾਲ ਪਹਿਲਾਂ ਲਿਖਿਆ ਸਮਰਥਾ-ਮੈਟ੍ਰਿਕਸ ਤਿੰਨ ਸਾਲ ਪੁਰਾਣੇ ਬਿਲਡ ਦੱਸਦਾ ਹੈ।
ਸੂਚੀ ਵਿੱਚ ਚਾਰ ਕਤਾਰਾਂ ਪਾਓ
ਬਹਿਸ ਖ਼ਤਮ ਕਰਨ ਵਾਲੇ ਰਿਕਾਰਡ ਵਿੱਚ ਚਾਰ ਲਾਈਨਾਂ ਹੁੰਦੀਆਂ ਹਨ, ਹਰ ਇੱਕ ਵੱਖਰੀ ਥਾਂ ਤੋਂ ਪੜ੍ਹੀ ਗਈ ਅਤੇ ਹਰ ਇੱਕ ਵੱਖਰੇ ਵਿਅਕਤੀ ਵੱਲੋਂ ਬਦਲੀ ਗਈ। ਕੁਝ ਵੀ ਤੈਅ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨੂੰ ਭਰੋ, ਕਿਉਂਕਿ ਗਲਤ ਕਤਾਰ ਹੀ ਇਲਾਜ ਚੁਣਦੀ ਹੈ।
| ਵਸਤੂ | ਕਿੱਥੋਂ ਪੜ੍ਹਨਾ ਹੈ | ਕੌਣ ਬਦਲਦਾ ਹੈ |
|---|---|---|
| ਸਰਟੀਫਿਕੇਟ ਜਾਰੀਕਰਤਾ ਦਾ ਦਸਤਖ਼ਤ | ਸਰਟੀਫਿਕੇਟ ਦਾ Signature Algorithm ਖੇਤਰ | CA ਆਪਰੇਟਰ, ਜਾਰੀ ਕਰਦੇ ਸਮੇਂ |
| ਵਿਸ਼ਾ ਦੀ ਜਨਤਕ ਕੁੰਜੀ | ਸਰਟੀਫਿਕੇਟ ਦਾ Public Key Algorithm ਖੇਤਰ | ਜੋ ਵਿਸ਼ਾ ਕੁੰਜੀ ਬਣਾਉਂਦਾ ਹੈ |
| IKE ਪ੍ਰਮਾਣਿਕਤਾ ਸਕੀਮ | ਡੈਮਨ ਲੌਗ ਜਾਂ ਕਨੈਕਸ਼ਨ ਸੂਚੀ, auth ਅਤੇ signature-hash ਸੂਚਨਾ | ਦੋਵੇਂ ਪੀਅਰਾਂ ਉੱਤੇ IKE ਪਰੋਫਾਈਲ |
| IKE ਅਤੇ ESP ਸੁਰੱਖਿਆ ਐਲਗੋਰਿਦਮ | ਕਨੈਕਸ਼ਨ ਦੀ ਪ੍ਰਸਤਾਵ-ਸੂਚੀ | IPsec ਪਰੋਫਾਈਲ, ਦਿਸ਼ਾ ਅਨੁਸਾਰ |
ਹਰ ਕਤਾਰ ਆਪਣਾ ਅਨੁਕੂਲਤਾ-ਨਤੀਜਾ ਲੈ ਕੇ ਆਉਂਦੀ ਹੈ। ESP ਸਾਈਫਰ ਬਦਲਣ ਨਾਲ ਜਾਰੀਕਰਤਾ ਦਾ ਦਸਤਖ਼ਤ ਨਹੀਂ ਚੁਣਿਆ ਜਾਂਦਾ, ਅਤੇ CA ਜਾਂਚ ਢਿੱਲੀ ਕਰਨ ਨਾਲ ਉਹ ਔਨਲਾਈਨ ਵਿਧੀ ਨਹੀਂ ਜੁੜਦੀ ਜਿਸ ਉੱਤੇ ਪੀਅਰਾਂ ਨੇ ਕਦੇ ਗੱਲਬਾਤ ਨਹੀਂ ਕੀਤੀ। ਜਦੋਂ ਟਿਕਟ ਦਸਤਖ਼ਤ-ਅਸੰਗਤੀ ਦਾ ਦਾਅਵਾ ਕਰਦੀ ਹੈ, ਤਦੋਂ ਸੱਚਮੁੱਚ ਗਲਤ ਕਤਾਰ ਲਗਭਗ ਕਦੇ ਪਹਿਲੀ ਨਹੀਂ ਹੁੰਦੀ।
PKI ਨੂੰ ਕਮਜ਼ੋਰ ਕੀਤੇ ਬਿਨਾਂ ਪੁਰਾਣਾ ਕੇਸ ਤੈਅ ਕਰੋ
ਪੁਰਾਣਾ ਪੀਅਰ ਸਿਰਫ਼ ਉਹੀ ਸਕੀਮ ਦੇ ਸਕਦਾ ਹੈ ਜਿਸ ਦੀ ਤੁਹਾਡੀ ਨੀਤੀ ਹੁਣ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੀ। ਵਿਕਲਪ ਹਨ ਸਮਾਂ-ਸੀਮਤ ਅਨੁਕੂਲਤਾ ਛੋਟ, ਕਲਾਇੰਟ ਅਪਡੇਟ, ਜਾਂ ਸਿਰਫ਼ ਉਸ ਪੀਅਰ ਲਈ ਵੱਖਰੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਵਸਥਾ। ਕਮਜ਼ੋਰ ਸਰਟੀਫਿਕੇਟ ਦਸਤਖ਼ਤ ਦੇ ਆਲੇ-ਦੁਆਲੇ PKI ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਔਨਲਾਈਨ ਵਟਾਂਦਰੇ ਦੀ ਸੀਮਾ ਨਹੀਂ ਸੁਧਾਰਦਾ ਅਤੇ ਉਸੇ CA ਉੱਤੇ ਭਰੋਸਾ ਕਰਨ ਵਾਲੀ ਹਰ ਦੂਜੀ ਸੇਵਾ ਨੂੰ ਕਮਜ਼ੋਰ ਕਰਦਾ ਹੈ। ਦਰਜ ਕਰੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜੀ ਕਤਾਰ ਬਦਲੀ ਅਤੇ ਛੋਟ ਕਦੋਂ ਖ਼ਤਮ ਹੋਵੇਗੀ।
ਫਿਰ ਦੋਵੇਂ ਪੜ੍ਹਤਾਂ ਉੱਪਰੋਂ ਦੁਬਾਰਾ ਚਲਾਓ, ਕਿਉਂਕਿ ਇੱਕ ਕਤਾਰ ਵਿੱਚ ਤਬਦੀਲੀ ਦੂਜੀ ਵਿੱਚ ਤੈਅ ਹੋਣ ਵਾਲੀ ਗੱਲ ਨੂੰ ਖਿਸਕਾ ਸਕਦੀ ਹੈ। ਪੂਰੀ ਸੂਚੀ ਦੋ ਕਮਾਂਡ ਅਤੇ ਇੱਕ ਸਾਰਣੀ ਹੈ, ਅਤੇ ਪੀਅਰ ਰਾਊਟਰ, ਲੈਪਟਾਪ ਜਾਂ ਯੰਤਰ ਹੋਵੇ, ਕੰਮ ਉਹੀ ਹੈ।