Android IKEv2 විශ්වාස දෝෂය: මූලය නොව, අතරමැදි CA යවන්න
ලැබුණු දාමය ඉක්මනින් අවසන් වන බැවින් දුරකථනය ගේට්වේ ප්‍රතික්ෂේප කරයි. අතරමැදි යැවීම, අනන්‍යතාව නිවැරදි කිරීම හෝ යතුරු වර්ගය වෙනස් කිරීම තීරණය කරන්න.
දුරකථනය සම්බන්ධ වීමට ප්‍රතික්ෂේප කර No trusted RSA public key found for vpn.example.net මුද්‍රණය කරයි, නමුත් එම ගේට්වේ සහතිකයම එම ජාලයේම ලැප්ටොප් එකකින් ක්‍රියා කරයි. සහතිකය නැවත නිකුත් කිරීම පෙළඹවන ක්‍රියාවයි. එය කිරීමට පෙර, ඔබට ඇත්තේ අසාර්ථකතා තුනෙන් කුමක්දැයි සොයා ගන්න, මන්ද ඉන් එකක් පමණක් සහතිකයේ අන්තර්ගතය ගැනය. පණිවිඩය අසම්පූර්ණ දාමයක්, අනන්‍යතා නොගැලපීමක් සහ අනුග්‍රහය නොදක්වන යතුරක් හෝ අත්සනක් ආවරණය කරයි, සහ එක් එක් ඒවාට වෙනස් අලුත්වැඩියාවක් ඇත.
එක් පණිවිඩයක් පිටුපස ඇති අසාර්ථකතා තුන
Android ගේට්වේ සහතිකයේ සිට VPN පැතිකඩේ තෝරාගත් CA දක්වා දාමයක් ගොඩනඟා, පසුව සේවාදායක නම පැතිකඩ සමඟ සසඳයි. දැනුම්දීම පියවර නොව ප්‍රතිඵලය වාර්තා කරයි. විශ්වාස අසාර්ථකතාව යනු හුවමාරුවේදී ලබා දුන් සහතිකවලින් දාමය සම්පූර්ණ කළ නොහැකි වූ බවයි; අනන්‍යතා අසාර්ථකතාව යනු දාමය සත්‍යාපනය වූ නමුත් නම නොගැලපුණු බවයි; ඇල්ගොරිතම අසාර්ථකතාව යනු උපාංගය හෝ පැතිකඩ යතුරු වර්ගය හෝ අත්සන පිළිගන්නා බවයි.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
අලුත්වැඩියා පිළිවෙලින් උත්සාහ කිරීම වෙනුවට සාක්ෂි සමඟ තීරණය කරන්න. ඩීමන් එකට එරෙහිව ලොග් මට්ටම 2 ක එක් උත්සාහයක් ඔබ කුමන පේළියේදැයි කියයි, සහ කිසිදා වැරදි නොවූ සහතිකයක් නැවත නිකුත් කිරීමට වඩා අඩු වියදමක් වේ.
මුලින්ම තීරණය කරන්න: මුළු දාමයම පැමිණියේද?
strongSwan එම සම්බන්ධතාවයට වින්‍යාස කළ සහතිකය යවයි, සහ අතරමැදි සහතික වෙනම අක්තපත්‍ර වේ. ඩීමන් ඒවා පේලෝඩ් එකක තැබීමට පෙර ඒවා CA සහතික ලෙස පූරණය කළ යුතුය, එබැවින් සේවාදායක සහතිකය අතරමැදියෙකු විසින් අත්සන් කර ඇති, මූලය විශ්වාස සංකේතය වන, සහ අතරමැදි සහතිකය CA හි ගොඩනැගීම් නාමාවලියේ පමණක් ඇති සැකැස්ම හරියටම මෙම අසාර්ථකතාව ඇති කරයි: රැහැනේ පත්‍රය පමණයි, දුරකථනයේ දාමය ඉක්මනින් අවසන් වේ.
swanctl වින්‍යාසයක swanctl --list-certs හෝ පැරණි starter සමඟ ipsec listcerts භාවිතයෙන් ඩීමන් සතුව ඇති දේ පරීක්ෂා කරන්න. අතරමැදි සහතිකය ඊට ඉහළින් මූලය සහිත CA සහතිකයක් ලෙස දිස්විය යුතුය. එය නැති නම් කිසිදු සේවාලාභී විකල්පයක් උදව් නොකරයි; එය තිබේ නම් ඊළඟ ප්‍රශ්නයට යන්න.
පසුව එය යැවේදැයි පරීක්ෂා කරන්න. swanctl.conf යොමුව send_cert ලේඛනගත කරයි, එහි පෙරනිමි ifasked සහකරු ඉල්ලා සිටි විට පමණක් සහතික යවයි; always කෙසේ වුවද යවයි. පැරණි සමානකම ipsec.conf හි leftsendcert=always වේ. එම සැකසුම යැවීම පාලනය කරයි, ලබා ගත හැකි බව නොව, එබැවින් ඩීමන් කිසිදා පූරණය නොකළ අතරමැදියක් සඳහා එයට ප්‍රතිකර්ම කළ නොහැක.
දාමය කෙටි නම්, ඩීමන් සොයන තැන අතරමැදි සහතිකය පූරණය කරන්න
අතරමැදි සහතිකය පත්‍රය අසල නොව CA නාමාවලියේ තබන්න: ipsec.conf සැකැස්ම සඳහා /etc/ipsec.d/cacerts, swanctl සඳහා /etc/swanctl/x509ca, හෝ ඔබේ පැකේජය ආදේශ කරන මාර්ගය. වින්‍යාසය නැවත පූරණය කර සහතික නැවත ලැයිස්තුගත කරන්න. සමහර අනුවාද පත්‍ර ගොනුව තුළ දාමය අඩංගු බණ්ඩලයක් ද යවයි, නමුත් CA නාමාවලිය අනුවාද සහ පැකේජ හරහා ගෙන යා හැකි සැකැස්මයි.
සේවාලාභී පැත්තෙන්ද සත්‍යාපනය කරන්න. දුරකථනය දකින්නේ හුවමාරුව ගෙන ආ දේ පමණි, එබැවින් ලොග් මට්ටම 2 හි ඩීමන් ලොගය යවන ලද සහතික අතර අතරමැදි සහතිකය පෙන්විය යුතුය. ලොගය එය පෙන්වුවත් දුරකථනය තවමත් අසාර්ථක නම්, ඔබ වගුවේ වෙනත් පේළියක සිටී, සහ CA ගොනු සකස් කිරීම දිගටම කරගෙන යාමෙන් ප්‍රතිඵලය වෙනස් නොවේ.
දාමය සම්පූර්ණ නම්, සහතික සංස්කරණය කිරීම නවත්වන්න
අනන්‍යතා අසාර්ථකතාව යනු VPN පැතිකඩේ නම සහ සහතිකයේ නම අතර නොගැලපීමයි. Android ඔබ වින්‍යාස කළ සේවාදායක අනන්‍යතාව එය සත්‍යාපනය කළ සහතිකය සමඟ සසඳයි, එබැවින් සහතිකය සත්කාරක නාමයක් නම් කරන විට ලිපිනයක් වෙත යොමු වන පැතිකඩ, හෝ සහතිකය ආවරණය නොකරන සත්කාරක නාමයක් නම් කරන පැතිකඩ, සාර්ථක දාම සත්‍යාපනයෙන් පසු අසාර්ථක වේ. වැරදි පැත්ත නිවැරදි කරන්න, සහ එකක් වෙනස් වූ විට පැතිකඩ සහ සහතිකය ගැලපී තබා ගන්න.
ඇල්ගොරිතම අසාර්ථකතාව වලංගු දාමයක් සහ ගැලපෙන නමක් සමඟ දිස්වේ. Android නිකුතු ඒවා පිළිගන්නා යතුරු වර්ග සහ අත්සන් ක්‍රමවලින් වෙනස් වේ, සහ පැතිකඩ වර්ගයම විකල්ප සීමා කරයි. ගේට්වේ පැරණි හෝ අසාමාන්‍ය සංයෝජනයක් භාවිතා කරන්නේ නම්, සහතිකය දූෂිත යැයි උපකල්පනය කිරීමට පෙර උපාංගය අනුග්‍රහය දක්වන දෙය සමඟ සසඳන්න. ඩීමන් ලොගය විශ්වාස අවස්ථාවට වඩා හස්ත සලාකනය ඉදිරියට යන බව පෙන්වයි, එය දාමය තවදුරටත් ගැටලුව නොවන බවට සංඥාවයි.
අතරමැදි සහතිකය දුරකථනයේ පරිශීලක මූලයක් ලෙස ස්ථාපනය නොකරන්න
නැතිවූ අතරමැදි සහතිකය දුරකථනයේ පරිශීලක සහතිකයක් ලෙස ස්ථාපනය කිරීමෙන් අවවාදය අතුරුදහන් වන අතර පරිශීලක-ස්ථාපිත මූලයන් පිළිගන්නා සෑම යෙදුමකටම දුරකථනයේ විශ්වාස ආකෘතිය වෙනස් කරයි. එය ඊළඟ සේවාලාභියාට පහර දෙන බෙදාහැරීමේ දෝෂයක් ද සඟවයි, සහ ගේට්වේ සෑම අනාගත උපාංගයකටම අසම්පූර්ණ දාමයක් යැවීමට ඉඩ දෙයි. කල් පවත්නා අලුත්වැඩියාව සේවාදායකයේ, එක් වරක්, සියලු සේවාලාභීන් සඳහාය.
වෙනස්කම් වාර්තාවේ තීරණ තුන වෙන් කර තබන්න: කුමන සහතික යවන ලද්දේ, කුමන අනන්‍යතාව සසඳනු ලැබුවේද, සහ කුමන ඇල්ගොරිතමය සාකච්ඡා කළේද. සෑම විටම තම සම්පූර්ණ දාමය යවන ගේට්වේ, සහතිකය නිවැරදිව නම් කරන පැතිකඩ, සහ බලඇණිය අනුග්‍රහය දක්වන යතුරු වර්ගය — මේවා කුඩා කරුණු තුනක්, සහ මෙම මුළු අසාර්ථකතාව එපමණයි.