Gabim besimi Android IKEv2: dërgoni CA të ndërmjetme, jo rrënjën

Telefoni refuzon të lidhet dhe printon No trusted RSA public key found for vpn.example.net, ndërsa i njëjti certifikatë e portës funksionon nga një laptop në të njëjtin rrjet. Lëvizja joshëse është të ri-lëshohet certifikata. Përpara se ta bëni, përcaktoni cilin nga tre dështimet keni, sepse vetëm njëri prej tyre ka të bëjë me përmbajtjen e certifikatës. Mesazhi mbulon një zinxhir jo të plotë, një mospërputhje identiteti dhe një çelës ose nënshkrim të pambështetur, dhe secili ka një riparim të ndryshëm.

Tre dështime pas një mesazhi

Android ndërton një zinxhir nga certifikata e portës deri te CA e zgjedhur në profilin VPN, pastaj krahason emrin e serverit me profilin. Njoftimi raporton rezultatin, jo fazën. Dështim besimi do të thotë që zinxhiri nuk mund të plotësohej nga certifikatat e dhëna në shkëmbim; dështim identiteti do të thotë që zinxhiri u vërtetua, por emri nuk përputhej; dështim algoritmi do të thotë që pajisja ose profili nuk e pranon llojin e çelësit ose nënshkrimin.

Vendosni me prova në vend që të provoni riparime me radhë. Një provë në nivelin e regjistrit 2 kundër daemon-it ju tregon në cilin rresht jeni, dhe kushton më pak sesa ri-lëshimi i një certifikate që nuk ishte kurrë e gabuar.

Vendosni së pari: a mbërriti i gjithë zinxhiri?

strongSwan dërgon certifikatën e konfiguruar për atë lidhje, dhe certifikatat e ndërmjetme janë kredenciale të veçanta. Ato duhet të ngarkohen si certifikata CA përpara se daemon-i t'i vendosë në një ngarkesë, kështu që një skemë ku certifikata e serverit nënshkruhet nga një e ndërmjetme, rrënja është spiranca e besimit dhe e ndërmjetmja gjendet vetëm në drejtorinë e ndërtimit të CA prodhon pikërisht këtë dështim: vetëm fleta në tel, zinxhiri mbaron shpejt në telefon.

Kontrolloni çfarë mban daemon-i me swanctl --list-certs në një instalim swanctl, ose ipsec listcerts me starter-in më të vjetër. E ndërmjetmja duhet të shfaqet si certifikatë CA me rrënjën sipër saj. Nëse mungon, asnjë opsion klienti nuk ndihmon; nëse është e pranishme, kaloni te pyetja tjetër.

Pastaj kontrolloni nëse do të dërgohej. Referenca e swanctl.conf dokumenton send_cert, vlera e paracaktuar e të cilit ifasked dërgon certifikata vetëm kur pala tjetër ka kërkuar; always dërgon gjithmonë. Ekuivalenti i vjetër është leftsendcert=always në ipsec.conf. Ajo cilësim kontrollon dërgimin, jo disponueshmërinë, prandaj nuk mund të kompensojë një të ndërmjetme që daemon-i nuk e ka ngarkuar kurrë.

Nëse zinxhiri është i shkurtër, ngarkoni të ndërmjetmen aty ku kërkon daemon-i

Vendoseni të ndërmjetmen në drejtorinë e CA dhe jo pranë fletës: /etc/ipsec.d/cacerts për një konfigurim ipsec.conf, /etc/swanctl/x509ca për swanctl, ose shtegu që zëvendëson paketa juaj. Ringarkoni konfigurimin dhe listoni përsëri certifikatat. Disa versione dërgojnë gjithashtu një paketë që përmban zinxhirin brenda skedarit të fletës, por drejtoria e CA është rregullimi i transportueshëm nëpër versione dhe paketa.

Verifikoni edhe nga ana e klientit. Telefoni sheh vetëm atë që solli shkëmbimi, kështu që regjistri i daemon-it në nivelin 2 duhet të tregojë të ndërmjetmen mes certifikatave të transmetuara. Nëse regjistri e tregon dhe telefoni ende dështon, jeni në një rresht tjetër të tabelës, dhe vazhdimi i rregullimit të skedarëve CA nuk do ta ndryshojë rezultatin.

Nëse zinxhiri është i plotë, ndaloni së redaktuarit të certifikatave

Dështim identiteti është një mospërputhje midis emrit në profilin VPN dhe emrit në certifikatë. Android krahason identitetin e serverit që konfiguruat me certifikatën që verifikoi, kështu që një profil që tregon një adresë ndërsa certifikata emërton një emër hosti, ose një profil që emërton një emër hosti që certifikata nuk e mbulon, dështon pas një verifikimi të suksesshëm të zinxhirit. Rregulloni anën e gabuar dhe mbani profilin dhe certifikatën të përputhura kur ndryshon ndonjëra.

Dështim algoritmi shfaqet me një zinxhir të vlefshëm dhe një emër që përputhet. Publikimet e Android ndryshojnë në llojet e çelësave dhe skemat e nënshkrimit që pranojnë, dhe vetë lloji i profilit i kufizon opsionet. Nëse porta përdor një kombinim më të vjetër ose të pazakontë, krahasojeni me atë që mbështet pajisja përpara se të supozoni se certifikata është e dëmtuar. Regjistri i daemon-it do të tregojë që shtrëngimi i duarve përparon më tej sesa në rastin e besimit, dhe ky është sinjali që zinxhiri nuk është më problemi.

Mos e instaloni të ndërmjetmen si rrënjë përdoruesi në telefon

Instalimi i të ndërmjetmes që mungon si certifikatë përdoruesi në telefon e bën paralajmërimin të zhduket dhe ndryshon modelin e besimit të telefonit për çdo aplikacion që pranon rrënjë të instaluara nga përdoruesi. Gjithashtu fsheh një gabim dërgimi që do të godasë klientin tjetër, dhe e lë portën të dërgojë një zinxhir jo të plotë për çdo pajisje të ardhshme. Riparimi i qëndrueshëm është në server, një herë, për të gjithë klientët.

Mbani tre vendimet të ndara në regjistrin e ndryshimeve: cilat certifikata u transmetuan, cili identitet u krahasua dhe cili algoritëm u negociua. Një portë që gjithmonë dërgon zinxhirin e saj të plotë, një profil që e emërton saktë certifikatën, dhe një lloj çelësi që flota e mbështet janë tre fakte të vogla, dhe janë i gjithë ky dështim.