IKEv2 има два потписа: сертификат и IKE_AUTH
CA потписује сертификат, а партнер потписује своју IKE_AUTH размену сопственом шемом. Прочитајте сваки из свог поља, затим запишите оба.
Ваш тикет тврди да је сертификат SHA-256, док евиденција пролаза наводи други алгоритам потписа, и неко је већ припремио захтев за поновно издавање CA. Пре него што тај захтев оде било где, раздвојите два потписа: један је печат издаваоца на јавном кључу, други је доказ партнера да поседује одговарајући приватни кључ током IKE_AUTH. Различите компоненте их бирају и дозвољено им је да се разликују. Читање сваког са места где живи захтева две команде и једну табелу.
Прочитајте потпис издаваоца из сертификата
CA ставља свој потпис на везу између идентитета и кључа. Тај потпис бележи шта је CA урадио при издавању, а не шта ће субјекат урадити при повезивању, па његов алгоритам описује сопствени избор хеша и кључа стране CA. Кључ субјекта једне врсте може стајати под кључем CA друге врсте без икакве недоследности, а ротација кључа CA је рутина, а не квар. Прочитајте два поља и имате половину инвентара:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Запишите обе ознаке као одвојене ставке. Прва описује CA, друга описује кључ субјекта, и ниједна не предвиђа онлајн потпис.
Прочитајте онлајн потпис из IKE размене
Током аутентификације сваки партнер потписује податке размене својим приватним кључем, а друга страна проверава тај доказ према идентитету, ланцу поверења и политици сертификата. Код RSA допуна и хеш припадају овој онлајн шеми, па дужи кључ или нов сертификат SHA-256 не могу сами да изаберу RSA-PSS за потпис аутентификације. Договорени метод се појављује у евиденцији демона или на његовом списку веза, никада у сертификату. Питајте сваку страну шта је договорила, јер се два смера могу разликовати.
ipsec statusall | grep -i "auth\|proposal"Када једна страна наведе шему коју друга не може да произведе, пронашли сте неслагање о коме је био тикет. Поновно издавање CA је погрешан поправак, јер сертификат никада није био оно што је отказало.
Шта мења RFC 7427, а шта не
Оригиналне методе су нумерисане по комбинацији алгоритама у RFC 7296. Касније RFC 7427 проширење потписа додаје општу методу Digital Signature са сигнализацијом подршке за хеш потписа, тако да нови хеш више не захтева сопствени број методе. О томе се преговара, не претпоставља: партнер не добија проширење зато што његова библиотека може да парсира исте сертификате, а партнер који примењује само оригиналне методе приморава пролаз да задржи једну од њих. То је политичка размена са ценом компатибилности, не дефект.
Подршка је по смеру и по вези, зато тестирајте изградњу која је пред вама уместо да верујете тврдњи на нивоу фамилије. Матрица могућности написана пре три године описује изградње старе три године.
Ставите четири реда у инвентар
Запис који окончава расправу има четири реда, сваки прочитан са другог места и сваки измењен од друге особе. Попуните га пре било какве одлуке, јер је управо погрешан ред тај који бира поправак.
| Објекат | Одакле се чита | Ко га мења |
|---|---|---|
| потпис издаваоца сертификата | поље Signature Algorithm сертификата | оператер CA, при издавању |
| јавни кључ субјекта | поље Public Key Algorithm сертификата | онај који генерише кључ субјекта |
| шема аутентификације IKE | евиденција демона или списак веза, обавештење auth и signature-hash | IKE профил на оба партнера |
| алгоритми заштите IKE и ESP | списак предлога везе | IPsec профил, по смеру |
Сваки ред носи сопствену последицу по компатибилност. Промена ESP шифре не бира потпис издаваоца, а попуштање провере CA не додаје онлајн методу о којој се партнери никада нису договорили. Када тикет тврди неслагање потписа, ред који је заиста погрешан скоро никада није први.
Решите стари случај без слабљења PKI
Старији партнер може понудити само шему коју ваша политика више не дозвољава. Опције су временски ограничено изузеће за компатибилност, ажурирање клијента или другачије уређење аутентификације само за тог партнера. Поновна изградња PKI око слабијег потписа сертификата не отклања ограничење у онлајн размени и слаби сваку другу услугу која верује истој CA. Запишите који ред сте изменили и када изузеће истиче.
Затим поново извршите оба читања од почетка, јер промена у једном реду може померити оно о чему се преговара у другом. Цео инвентар су две команде и једна табела, и исти посао је био партнер рутер, преносни рачунар или уређај.