د Android IKEv2 باور تېروتنه: مینځنی CA واستوئ، نه ریښه
تلیفون لارښود ردوي ځکه چې ترلاسه شوې لړۍ ژر پای ته رسېږي. پریکړه وکړئ: مینځنی واستوئ، هویت سم کړئ، یا د کیلي ډول بدل کړئ.
تلیفون د نښلولو نه انکار کوي او No trusted RSA public key found for vpn.example.net چاپوي، پداسې حال کې چې هماغه د لارښود سند په هماغه شبکه کې له لپ ټاپ څخه کار کوي. د سند بیا صادرول هڅوونکی ګام دی. مخکې له دې چې دا وکړئ، معلومه کړئ چې له درېیو کومه پاتې والی لرئ، ځکه یوازې یو یې د سند منځپانې په اړه دی. پیغام نیمګړې لړۍ، د هویت ناسمونکی او نه ملاتړ شوې کیلي یا لاسلیک رانغاړي، او هر یو بېلابېل سمون لري.
د یو پیغام شاته درې پاتې والي
Android له لارښود سند څخه تر هغه CA پورې چې په VPN پروفایل کې ټاکل شوې لړۍ جوړوي، بیا د سرور نوم له پروفایل سره پرتله کوي. خبرتیا پایله ښیي، نه پړاو. د باور پاتې والی مانا دا ده چې لړۍ د تبادلې په ورکړل شوو سندونو بشپړه نشوه؛ د هویت پاتې والی مانا دا ده چې لړۍ تایید شوه خو نوم برابر نه شو؛ د الګوریتم پاتې والی مانا دا ده چې وسیله یا پروفایل د کیلي ډول یا لاسلیک نه مني.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
د سمونونو په ترتیب ازمویلو پرځای په شاهدو پریکړه وکړئ. د ډیمون پر وړاندې د لاګ کچې 2 یوه هڅه درته وایي چې په کومه کرښه کې یاست، او د هغه سند له بیا صادرولو څخه کم لګښت لري چې هیڅکله ناسم نه و.
لومړی پریکړه وکړئ: ایا ټوله لړۍ ورسېده؟
strongSwan هغه سند چې د دې اړیکې لپاره تنظیم شوی دی استوي، او مینځنی سندونه جلا اسناد دي. باید د CA سندونو په توګه بار شي مخکې له دې چې ډیمون یې په پایلوډ کې ځای پرځای کړي، نو هغه ترتیب چې پکې د سرور سند د مینځني سند لخوا لاسلیک شوی، ریښه د باور لنګر ده، او مینځنی سند یوازې د CA په جوړولو فولډر کې دی، هماغه دا پاتې والی رامنځته کوي: په لیکه کې یوازې پاڼه، په تلیفون کې لړۍ ژر پای ته رسېږي.
په swanctl نصبولو کې د swanctl --list-certs یا د زوړ starter سره د ipsec listcerts په کارولو سره وګورئ چې ډیمون څه لري. مینځنی باید د CA سند په توګه ښکاره شي چې پورته یې ریښه وي. که نه وي، هېڅ کلاینت انتخاب مرسته نه کوي؛ که وي، بلې پوښتنې ته لاړ شئ.
بیا وګورئ چې ایا لیږل کیږي. swanctl.conf حواله send_cert مستندوي، چې ډیفالټ یې ifasked یوازې هغه وخت سندونه استوي چې سیال وغواړي؛ always هرومرو استوي. زوړ معادل ipsec.conf کې leftsendcert=always دی. هغه تنظیم لیږل کنټرولوي، نه شتون، نو د هغه مینځني سند جبر نشي کولی چې ډیمون هیڅکله نه دی بار کړی.
که لړۍ لنډه وي، مینځنی سند هغه ځای بار کړئ چې ډیمون پکې ګوري
مینځنی سند د پاڼې ترڅنګ نه، د CA فولډر کې کېږدئ: ipsec.conf تنظیم لپاره /etc/ipsec.d/cacerts، swanctl لپاره /etc/swanctl/x509ca، یا هغه لاره چې ستاسو بسته یې بدلوي. ترتیب بیا بار کړئ او سندونه بیا لیست کړئ. ځینې نسخې هغه بنډل هم استوي چې لړۍ د پاڼې فایل کې لري، خو د CA فولډر په نسخو او بستو کې د لېږد وړ ترتیب دی.
له کلاینت اړخه هم تایید کړئ. تلیفون یوازې هغه څه ویني چې تبادلې راوړي، نو د لاګ کچې 2 ډیمون لاګ باید مینځنی سند په لیږل شوو سندونو کې وښیي. که لاګ یې وښیي او تلیفون بیا هم ناکام شي، تاسو د جدول په بله کرښه کې یاست، او د CA فایلونو سمول به پایله بدله نه کړي.
که لړۍ بشپړه وي، د سندونو سمول بند کړئ
د هویت پاتې والی د VPN پروفایل نوم او د سند نوم ترمنځ ناسمونکی دی. Android ستاسو ټاکل شوی سرور هویت له هغه سند سره پرتله کوي چې تایید کړی یې دی، نو هغه پروفایل چې پته ښیي پداسې حال کې چې سند کوربه نوم نوموي، یا هغه پروفایل چې کوربه نوم نوموي چې سند یې نه رانغاړي، د لړۍ له بریالي تایید وروسته ناکام شي. ناسم اړخ سم کړئ، او کله چې یو یې بدل شي پروفایل او سند سره سم وساتئ.
د الګوریتم پاتې والی د سمې لړۍ او برابر نوم سره ښکاره کیږي. Android نسخې په دې کې توپیر لري چې کوم د کیلي ډولونه او لاسلیک سکیمونه مني، او د پروفایل ډول پخپله انتخابونه محدودوي. که لارښود زوړ یا غیرعادي ترکیب کاروي، د دې له منلو مخکې چې سند خراب دی، له هغه څه سره یې پرتله کړئ چې وسیله یې ملاتړ کوي. ډیمون لاګ به وښیي چې لاس ورکول د باور حالت په پرتله ډېر مخته ځي، او دا هغه نښه ده چې لړۍ نوره ستونزه نه ده.
مینځنی سند په تلیفون کې د کاروونکي ریښې په توګه مه نصب کړئ
د نیمګړي مینځني سند په تلیفون کې د کاروونکي سند په توګه نصبول خبرداری ورکوي او د هغو ټولو اپلیکیشنونو لپاره چې د کاروونکي نصب شوې ریښې مني د تلیفون باور ماډل بدلوي. دا هغه تحویلي بګ هم پټوي چې بل کلاینت به وځوروي، او لارښود دې ته پرېږدي چې هر راتلونکي وسیلې ته نیمګړې لړۍ واستوي. دوامداره سمون په سرور کې دی، یو ځل، د ټولو کلاینتونو لپاره.
په بدلون ریکارډ کې درې پریکړې جلا وساتئ: کوم سندونه لیږل شوي، کوم هویت پرتله شوی، او کوم الګوریتم خبرې شوې. هغه لارښود چې تل خپله بشپړه لړۍ استوي، هغه پروفایل چې سند سم نوموي، او هغه د کیلي ډول چې بېړۍ یې ملاتړ کوي — دا درې کوچنۍ واقعیتونه دي، او دا ټول پاتې والی همدغه دی.