strongSwan: د کیلي ډول، لوډر او غلط backend

د فایل توسیعونه د کیلي الګوریتمونه نه پیژني، او .pem پوښ کولی شي RSA یا ECDSA مواد ولري. PEM تشریح کوي چې بایټونه څنګه تړل کیږي، پداسې حال کې چې RSA او ECDSA مختلف الګوریتمونه نوموي، او PKCS12 فایل بیا دریم شی دی. strongSwan د پلگ انونو او کنفیګریشن backend له لارې اعتبارونه لوډ کوي، نو سند کولی شي په لیست کې ښکاره شي پداسې حال کې چې خصوصي کیلي هېڅکله د کار وړ نه شي. د هر راز راز د سمولو مخکې دا طبقې جلا کړئ.

کوډ کول، الګوریتم او بسته بندي درې طبقې دي

د کیلي فایل کوډ کول، الګوریتم او ډیری وختونه کانټینر لري. PEM پیژندل شوی base64 پوښ دی؛ DER د هغې باینري سیال دی؛ PKCS12 سند د هغې کیلي او زنځیر سره یوځای کوي. د سندونو د زنځیر فایل بل کانټینر دی، او معمولاً هېڅ خصوصي کیلي نه لري. د دې نښو څخه هېڅ یوه نه وایي چې دننه مواد RSA دی که ECDSA.

الګوریتم د شی له خپله ځانه ولولئ. د عرضه کوونکي بازار موندنې نوم یا د فایل توسیع ثبوت نه دی، ځکه چې هماغه صادروونکی کولی شي مختلف ډوله کیلي ورکړي.

د لوډر په غندلو مخکې عامه کیلي پرتله کړئ

هغه سند چې لوډیږي ثابتوي چې سند تحلیل شوی، نه دا چې خصوصي کیلي یې موجوده یا د کار وړ ده. عامه کیلي له سند او له وړاندیز شوې خصوصي کیلي څخه ترلاسه کړئ، بیا دوه ډایجسټونه پرتله کړئ. که هر استخراج ناکام شي، هماغه ځای ودروئ، ځکه چې د خالي پایلې ډایجسټ هېڅ نه ثابتوي. سره سمون لرونکي ډایجسټونه ثابتوي چې جوړه یوځای ده، او د دې په اړه نور هېڅ چې سند د دندې لپاره مناسب دی که نه.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

دوهم حکم ستاسو په ماشین کې خصوصي موادو ته لاس ورکوي مګر یوازې عامه نیمه صادروي. همداسې یې وساتئ، او هېڅکله په ټکټ کې خصوصي کیلي مه نښلئ. که کیلي کوډ شوې وي، د ملاتړ شوي وسیلې ته اجازه ورکړئ چې پاسفریز وپوښتي، د دې پرځای چې په حکم کرښه کې یې کیږدئ چې د پروسو لیست یې ښکاره کولی شي.

زاړه ipsec.secrets یا swanctl اعتبارونه

strongSwan دوه معمول کاریدونکي د اعتبار لارې لري. زاړه starter سټک د ډول ځانګړي ننوتنې له دې ځایه لولي: ipsec.secrets، او هر ننوتنه باید د موادو لپاره سم ډول ونوموي. swanctl او vici سټک کیلي د خپل اعتبار فولډر څخه د خپل کنفیګریشن له لارې لوډوي. هغه فایل سمول چې روان backend یې نه لولي هېڅ نه بدلوي.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

ومومئ چې کوم backend واقعاً روان دی، بیا کیلي هلته کیږدئ چې هغه backend ورته ګوري. د strongSwan 5.9 زوړ لارښود د ډول ځانګړي راز ننوتنې تعریفوي، او دا د swanctl سند نه دی. دواړه ګډول یو daemon جوړوي چې هغه فایل له پامه غورځوي چې مدیر یې معتبر ګڼي. بیا لوډ کول چې کومه تېروتنه نه راپور کوي یوازې دا معنا لري چې کنفیګریشن تحلیل شوی.

د لوډ پېښه او د تصدیق پایله ولولئ

د کنټرول شوي بیا لوډ وروسته، د ځانګړي کیلي لپاره د daemon خپله لوډ پایله ولولئ. په حالت ډمپ کې لیست شوی سند نه ښیي چې خصوصي کیلي ورسره سمون موندلی.

که کلاینټ لا هم ناکام شي، د سرور پېښه او د کلاینټ تېروتنه جلا وساتئ. د زنځیر تصدیق، د هویت سمون او د میتودونو مطابقت بیا وروسته پوښتنې دي چې خپل شواهد لري. پایله د کیلي دقیقې لارې او هغه ډایجسټ سره لیکلې وساتئ چې پرتله مو کړی، ځکه چې بیا به بل شفټ هماغه لوډ تکرار کړي. د لوډر ناسمونې لپاره CA بدلول لومړنی غبرګون نه دی.