strongSwan send_cert: IKE සහතිකය යවන්නේ කවදාද

ගේට්වේ සහතික සම්බන්ධ සත්‍යාපන අසාර්ථකතා ලොග් කරයි, පළමු ප්‍රතිචාරය වන්නේ ලබන්නාට තවත් CA එකක් එකතු කිරීමයි. එය උපකල්පනය කරන්නේ සහතිකය පැමිණ එය ප්‍රතික්ෂේප වූ බවයි. අනෙක් හැකියාව වන්නේ එය කිසිදා යවා නොතිබීමයි, එය යවන්නාගේ සම්බන්ධතා ප්‍රතිපත්තිය තීරණය කරයි. විශ්වාසය වෙනස් කිරීමට පෙර දෙකෙන් කුමක් සිදුවීද යන්න තීරණය කරන්න.

send_cert ඇත්තටම පාලනය කරන්නේ කුමක්ද

සහතික මගින් සත්‍යාපනය සඳහා peer ගේ අවසන්-ආයතන සහතිකය IKE හුවමාරුව හෝ පෙර සූදානම මගින් අනෙක් පැත්තට ළඟා විය යුතුය. swanctl තුළ සම්බන්ධතා සැකසුම send_cert මගින් මෙම අවසන් ලක්ෂ්‍යය තම සහතික පේලෝඩය ඇතුළත් කරන්නේද යන්න තීරණය කරයි: කිසිදා නැත, සැමවිටම හෝ ifasked. පෙරනිමි ifasked එය peer ගෙන් ආ සහතික ඉල්ලීමට පිළිතුරක් ලෙස යවයි. සහතිකයක් ඉල්ලීම වෙනම සැකසුමකි, මන්ද අනෙක් පැත්තෙන් එහි සහතිකය ඉල්ලීම තමන්ගේ එක පිරිනැමීමට සමාන නොවේ.

පැරණි ipsec.conf යෙදවුම් leftsendcert සහ rightsendcert භාවිතා කළ අතර, එම නම් දේශීය සහ දුරස්ථ භූමිකා සමඟ ගැලපේ, සෘජුවම swanctl සමඟ නොවේ.

සම්බන්ධතාව වෙනස් කිරීමට පෙර එක් උත්සාහයක් කියවන්න

එක් පාලිත උත්සාහයකින් රෝග විනිශ්චය කරන්න, සහතික සම්බන්ධ යැයි යන පොදු හැඟීමෙන් නොව. ප්‍රතිපත්තිය සහ සක්‍රීය සම්බන්ධය දෙකම පරීක්ෂා කළ හැක.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

සම්බන්ධතා ලැයිස්තුව වින්‍යාසගත send_cert අගය පෙන්වයි, SA ලැයිස්තුව කුමන සම්බන්ධතා ඇත්තටම නැගුණේද පෙන්වයි. ලොගය සාකච්ඡා විස්තර එකතු කරයි: සහතික ඉල්ලීමක් ලැබුණේද සහ සහතික පේලෝඩයක් පිටතට ගියේද. සාමාන්‍ය සත්‍යාපන අසාර්ථකත්වයක් බෙදාහැරීමේ ගැටලුවක් නොදක්වයි, එබැවින් යමක් තීරණය කිරීමට පෙර නිශ්චිත හුවමාරුව සොයන්න. උත්සාහයේ කාල මුද්‍රාව සටහන් කරන්න, ලොග කවුළුව මුළු අතට අත ගැසීමම ආවරණය කරන පරිදි.

ලබන්නාගේ විශ්වාසය වෙනම තීරණයකි

බෙදාහැරීම සහ විශ්වාසය වෙනස් ගුණාංග වන අතර, එකක් නිවැරදි කිරීම අනෙක නිවැරදි නොකරයි. ලබන්නාට අදහස් කළ විශ්වාස ආධාරකය තිබිය යුතුය, භාවිතයට ගත හැකි දාමයක් ලැබිය යුතුය, අපේක්ෂිත peer අනන්‍යතාව සමඟ ගැලපිය යුතුය. තම අතරමැදි සහතිකය නොමැතිව පැමිණෙන අවසන්-ආයතන සහතිකය දැඩි දාම පරීක්ෂාවේදී තවමත් අසාර්ථක වේ. ඊට වෙනස්ව, CA එකක් ස්ථාපනය කිරීම peer එකක් තම සහතිකය යැවීමට කිසිසේත් බල නොකරයි.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

පරීක්ෂාව මගින් කුමන නිකුත් කරන්නා සහතිකයට අත්සන් කළේද සහ එය කවදා අවසන් වේද පෙන්වයි, ලබන්නාගේ ආධාරකය ඊට ගැලපිය යුතුය. යෙදවුමේ හිමිකාරිත්වයේ ඇති නිකුත් කරන CA විශ්වාස කරන්න, දාමයේ සෑම අතරමැදි සහතිකයක්ම නොව, මන්ද සෑම අතරමැදියෙක්ම මූලයට ඔසවන විට විශ්වාසය එක් peer එකකට වඩා බොහෝ දුරට පුළුල් වේ. අනන්‍යතා සත්‍යාපනය සක්‍රීයව තබන්න, මන්ද සත්‍යාපනය ක්‍රියා විරහිත කළ විට පමණක් සාර්ථක වන සම්බන්ධතාවක් අලුත්වැඩියාවක් නොවේ. දාමය අසම්පූර්ණ තැන්වල, සූදානම අලුත්වැඩියා කරන්න, යවන්නාගේ ප්‍රතිපත්තිය නොව.

සාක්ෂි සමඟ පමණක් යවන්නා වෙනස් කරන්න

සහතිකය කිසිදා යවා නැති බවත් ලබන්නා ඇත්තටම එය ඉල්ලා සිටි බවත් ලොගය පෙන්වන විට, send_cert always ලෙස සැකසීම එම සම්බන්ධතාවට යුක්ති සහගත වෙනසකි. එය swanctl වින්‍යාසයේ යොදන්න, සම්බන්ධතා නැවත පූරණය කරන්න, පවතින SA නැවත භාවිතා කිරීම වෙනුවට නව සැසියක් ආරම්භ කරන්න. සහතික පේලෝඩය දැන් දිස්වන බවත් ලබන්නා එය අදහස් කළ ආධාරකයට එරෙහිව පිළිගන්නා බවත් තහවුරු කරන්න. කිසිවක් වෙනස් නොවන්නේ නම්, දෝෂය විශ්වාසයේ පැත්තේ විය, යවන්නාගේ සැකසුම හේතුව නොවීය.

නිරීක්ෂණය කළ හුවමාරුව, ආධාරකය සහ එයින් ලැබෙන සත්‍යාපනය වෙනස්කම් වාර්තාවේ ලියන්න. මෙම පදවලින් විස්තර කළ නොහැකි සහතික අලුත්වැඩියාවක් අහම්බයකි.