strongSwan send_cert: کله د IKE سند لیږل کیږي

ګیټ ویز د سندونو پورې اړوند د تصدیق ناکامۍ ثبتوي، او لومړنی غبرګون دا دی چې ترلاسه کوونکي ته بله CA ورزیاته شي۔ دا فرض کوي چې سند رسېدلی او رد شوی دی۔ بله امکان دا دی چې هېڅکله نه دی لیږل شوی، او دا د لیږونکي د اړیکې تګلاره ټاکي۔ د باور بدلولو دمخه وټاکئ چې له دواړو کومه پېښه شوې۔

send_cert په رښتیا څه کنټرولوي

د سند له مخې تصدیق غواړي چې د peer د پایني موجودیت سند د IKE تبادلې یا مخکیني چمتووالي له لارې بل لوري ته ورسیږي۔ په swanctl کې د اړیکې تنظیم send_cert ټاکي چې آیا دا پاینی ټکی خپل د سند بار شاملوي: هېڅکله، تل یا ifasked۔ پیش فرض ifasked هغه د peer له لوري د سند غوښتنې په ځواب کې لیږي۔ د سند غوښتل جلا تنظیم دی، ځکه چې له بل لوري د هغه سند غوښتل د خپل وړاندې کولو سره یو ډول نه دی۔

زاړه ipsec.conf ځای پرځای کول leftsendcert او rightsendcert کارول، او دا نومونه له ځایي او لرې رولونو سره سمون لري، نه مستقیم له swanctl سره۔

د اړیکې بدلولو دمخه یوه هڅه ولولئ

له یوې کنټرول شوې هڅې تشخیص وکړئ، نه له هغه عمومي احساس چې سندونه پکې ښکېل دي۔ هم تګلاره او هم فعاله ټولګه کتنې وړ ده۔

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

د اړیکو لیست تنظیم شوې send_cert ارزښت ښيي، او د SA لیست ښيي چې کومې اړیکې په رښتیا جوړې شوې۔ لاګ د خبرو اترو تفصیلات ورزیاتوي: آیا د سند غوښتنه ترلاسه شوه او آیا د سند بار ووت۔ عمومي د تصدیق ناکامي د رسولو ستونزه نه ښيي، نو مخکې له دې چې څه نتیجه واخلئ مشخصه تبادله ولټوئ۔ د هڅې وخت نښه ولیکئ ترڅو د لاګ کړکۍ ټوله لاس ورکول پوښي۔

د ترلاسه کوونکي باور جلا پرېکړه ده

رسول او باور بېلې ځانګړنې دي، او د یوې سمول بله نه سمول کیږي۔ ترلاسه کوونکی باید مطلوب د باور اینکر ولري، کارېدونکی سلسله ترلاسه کړي او د peer له تمه شوې هویت سره سمون ولري۔ د پایني موجودیت سند چې پرته له خپل منځني سند راشي لا هم په سخت سلسله کتنه کې ناکام کیږي۔ په برعکس، د CA نصبول peer هېڅکله هم نه مجبوروي چې خپله سند ولیږي۔

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

کتنه ښيي چې کوم صادروونکي سند لاسلیک کړی او کله پای ته رسي، او د ترلاسه کوونکي اینکر باید له هغې سره سمون ولري۔ د هغه صادروونکي CA باور وکړئ چې ځای پرځای کول یې لري، نه د سلسلې هر منځني سند، ځکه هر منځنی تر ریښې پورته کول باور له یو peer څخه ډېر پراخوي۔ د هویت تصدیق فعال وساتئ، ځکه هغه اړیکه چې یوازې د تصدیق بندولو سره بریالې کیږي سمون نه دی۔ چېرې چې سلسله نیمګړې ده، چمتووالی سم کړئ، نه د لیږونکي تګلاره۔

لیږونکی یوازې د شاهد سره بدل کړئ

کله چې لاګ ښيي چې سند هېڅکله نه دی لیږل شوی او ترلاسه کوونکي په رښتیا غوښتی دی، send_cert په always ټاکل د هغې اړیکې لپاره سم بدلون دی۔ هغه د swanctl په ترتیب کې پلي کړئ، اړیکې بیا پورته کړئ او پرځای د دې چې موجوده SA بیا وکاروئ، نوې ناسته جوړه کړئ۔ تایید کړئ چې د سند بار اوس ښکاري او ترلاسه کوونکی یې د مطلوب اینکر له مخې مني۔ که هېڅ ونه بدل شي، تېروتنه په باور لوري وه او د لیږونکي تنظیم سبب نه و۔

مشاهده شوې تبادله، اینکر او له هغې ترلاسه شوې تصدیق د بدلون په ریکارډ کې ولیکئ۔ د سند هغه سمون چې په دغو اصطلاحاتو بیانېدلی نه شي، یوازې تصادف دی۔