IKEv2 හි අත්සන් දෙකක් ඇත: සහතිකය සහ IKE_AUTH

ඔබේ ටිකට් පවසන්නේ සහතිකය SHA-256 බවයි, නමුත් ගේට්වේ ලොගය වෙනත් අත්සන් ඇල්ගොරිතමයක් නම් කරයි, සහ යමෙක් දැනටමත් CA නැවත නිකුත් කිරීමේ ඉල්ලීමක් සකස් කර ඇත. එම ඉල්ලීම කොහේවත් යාමට පෙර අත්සන් දෙක වෙන් කරන්න: එකක් පොදු යතුරක් මත නිකුත් කරන්නාගේ මුද්‍රාවයි, අනෙක IKE_AUTH අතරතුර සහකරුට ගැලපෙන පෞද්ගලික යතුර ඇති බවට සාක්ෂියයි. විවිධ සංරචක ඒවා තෝරා ගනී, සහ ඒවා වෙනස් වීමට අවසර ඇත. එක් එක් අත්සන එය ජීවත් වන තැනින් කියවීමට විධාන දෙකක් සහ වගුවක් අවශ්‍ය වේ.

නිකුත් කරන්නාගේ අත්සන සහතිකයෙන් කියවන්න

CA තම අත්සන හැඳුනුම්පතක් සහ යතුරක් අතර බැඳීමක් මත තබයි. එම අත්සන සටහන් කරන්නේ නිකුත් කිරීමේදී CA කළ දේ, සම්බන්ධ වන විට විෂය කරන දේ නොවේ, එබැවින් එහි ඇල්ගොරිතමය CA හිම මෙහෙයුම් හා යතුරු තේරීම විස්තර කරයි. එක් වර්ගයක විෂය යතුරක් කිසිදු නොගැලපීමකින් තොරව වෙනත් වර්ගයක CA යතුරක් යටතේ තිබිය හැක, සහ CA යතුර මාරු කිරීම දෝෂයක් නොව සාමාන්‍ය කටයුත්තකි. ක්ෂේත්‍ර දෙක කියවන්න, ලැයිස්තුවේ අඩක් ඔබ සතුය:

openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"

ලේබල් දෙකම වෙන වෙනම සටහන් ලෙස ලියන්න. පළමුවැන්න CA විස්තර කරයි, දෙවැන්න විෂයයේ යතුර විස්තර කරයි, සහ කිසිවක් මාර්ගගත අත්සන පුරෝකථනය නොකරයි.

මාර්ගගත අත්සන IKE හුවමාරුවෙන් කියවන්න

සත්‍යාපනය අතරතුර සෑම සහකරුවෙක්ම තම පෞද්ගලික යතුරෙන් හුවමාරු දත්තවලට අත්සන් කරයි, සහ අනෙක් පැත්ත එම සාක්ෂිය සහතිකයේ හැඳුනුම්පත, විශ්වාස දාමය සහ ප්‍රතිපත්තියට එරෙහිව පරීක්ෂා කරයි. RSA හි පිරවුම සහ හැෂ් මෙම මාර්ගගත ක්‍රමයට අයත් වේ, එබැවින් දිගු යතුරක් හෝ නව SHA-256 සහතිකයක් සත්‍යාපන අත්සන සඳහා RSA-PSS තමන් විසින්ම තෝරා ගත නොහැක. සාකච්ඡා කළ ක්‍රමය ඩීමන් ලොගයේ හෝ එහි සම්බන්ධතා ලැයිස්තුවේ දිස්වේ, සහතිකයේ කිසි විටෙකත් නොවේ. සෑම පැත්තකින්ම ඔවුන් සාකච්ඡා කළ දේ අසන්න, මන්ද දිශා දෙක වෙනස් විය හැක.

ipsec statusall | grep -i "auth\|proposal"

එක් පැත්තක් අනෙකට නිපදවිය නොහැකි ක්‍රමයක් නම් කරන විට, ටිකට් පත්‍රය ගැන තිබූ එම නොගැලපීම ඔබ සොයා ගත්තා. CA නැවත නිකුත් කිරීම ඒ සඳහා වැරදි පිළියමයි, මන්ද අසාර්ථක වූයේ සහතිකය කිසි විටෙකත් නොවීය.

RFC 7427 වෙනස් කරන දේ සහ නොකරන දේ

මූලික ක්‍රම RFC 7296 හි එක් එක් ඇල්ගොරිතම සංයෝගය අනුව අංකනය කර ඇත. පසුව එන RFC 7427 අත්සන් දිගුව අත්සන්-හැෂ් ආධාරක සංඥාකරණය සමඟ සාමාන්‍ය Digital Signature ක්‍රමයක් එකතු කරයි, එබැවින් නව හැෂ් එකකට තමන්ගේම ක්‍රම අංකයක් අවශ්‍ය නොවේ. මෙය සාකච්ඡා කරන දෙයකි, උපකල්පනය නොකෙරේ: සහකරුගේ පුස්තකාලයට එම සහතික කියවිය හැකි නිසා ඔහුට දිගුව ලැබෙන්නේ නැත, සහ මූලික ක්‍රම පමණක් ක්‍රියාත්මක කරන සහකරු ගේට්වේ ඒවායින් එකක් තබා ගැනීමට බල කරයි. මෙය ගැළපුම් පිරිවැයක් සහිත ප්‍රතිපත්ති හුවමාරුවකි, දෝෂයක් නොවේ.

ආධාරකය දිශාවකට සහ සම්බන්ධතාවකට වෙන් වෙන්ව ඇත, එබැවින් පවුල් මට්ටමේ ප්‍රකාශයක් විශ්වාස කරනවාට වඩා ඔබ ඉදිරියේ ඇති ගොඩනැගිල්ල පරීක්ෂා කරන්න. වසර තුනකට පෙර ලියූ හැකියා න්‍යාසය වසර තුනක් පැරණි ගොඩනැගිලි විස්තර කරයි.

ලැයිස්තුවට පේළි හතරක් දමන්න

තර්කය අවසන් කරන වාර්තාවට පේළි හතරක් ඇත, එක් එක් පේළිය වෙනත් තැනකින් කියවා ඇති අතර එක් එක් පේළිය වෙනත් පුද්ගලයෙකු විසින් වෙනස් කර ඇත. කිසිවක් තීරණය කිරීමට පෙර එය පුරවන්න, මන්ද වැරදි පේළිය විසින්ම පිළියම තෝරා ගනී.

සෑම පේළියක්ම තමන්ගේම ගැළපුම් ප්‍රතිවිපාකය දරයි. ESP සයිෆරය වෙනස් කිරීම නිකුත් කරන්නාගේ අත්සන තෝරන්නේ නැත, සහ CA සත්‍යාපනය ලිහිල් කිරීම සහකරුවන් කිසි විටෙකත් සාකච්ඡා නොකළ මාර්ගගත ක්‍රමයක් එකතු නොකරයි. ටිකට් පත්‍රය අත්සන් නොගැලපීමක් ප්‍රකාශ කරන විට, සැබවින්ම වැරදි පේළිය පාහේ කිසි විටෙකත් පළමුවැන්න නොවේ.

PKI දුර්වල නොකර පැරණි අවස්ථාව නිරාකරණය කරන්න

පැරණි සහකරුවෙකු ඔබේ ප්‍රතිපත්තිය තවදුරටත් අවසර නොදෙන ක්‍රමයක් පමණක් ඉදිරිපත් කළ හැක. විකල්ප වන්නේ කාල සීමිත ගැළපුම් ව්‍යතිරේකයක්, සේවාලාභී යාවත්කාලීන කිරීමක්, හෝ එම සහකරුට පමණක් වෙනත් සත්‍යාපන විධිවිධානයකි. දුර්වල සහතික අත්සන වටා PKI නැවත ගොඩනැගීම මාර්ගගත හුවමාරුවේ සීමාව නිවැරදි නොකරන අතර එම CA මත විශ්වාස කරන අනෙක් සෑම සේවාවක්ම දුර්වල කරයි. ඔබ වෙනස් කළ පේළිය සහ ව්‍යතිරේකය කවදා අවසන් වේද යන්න සටහන් කරන්න.

පසුව කියවීම් දෙක නැවත මුල සිට ක්‍රියාත්මක කරන්න, මන්ද එක් පේළියක වෙනසක් අනෙකක සාකච්ඡා වන දේ මාරු කළ හැක. මුළු ලැයිස්තුවම විධාන දෙකක් සහ වගුවකි, සහ සහකරු රවුටරයක්, ලැප්ටොප් පරිගණකයක් හෝ උපාංගයක් වුවත් කාර්යය එකම ය.