Android IKEv2 நம்பிக்கை பிழை: ரூட் அல்ல, இடைநிலை CA அனுப்பவும்
பெற்ற சங்கிலி விரைவில் முடிவதால் தொலைபேசி கேட்வேயை நிராகரிக்கிறது. இடைநிலையை அனுப்பவா, அடையாளத்தைச் சரிசெய்யவா அல்லது விசை வகையை மாற்றவா என்பதைத் தீர்மானிக்கவும்.
தொலைபேசி இணைப்பை மறுத்து No trusted RSA public key found for vpn.example.net ஐ அச்சிடுகிறது, அதேசமயம் அதே கேட்வே சான்றிதழ் அதே வலைப்பின்னலில் உள்ள மடிக்கணினியிலிருந்து வேலை செய்கிறது. சான்றிதழை மீண்டும் வழங்குவது கவர்ச்சிகரமான நடவடிக்கை. அதைச் செய்வதற்கு முன், மூன்று தோல்விகளில் எது உங்களுக்கு உள்ளது என்பதைக் கண்டறியுங்கள், ஏனெனில் அவற்றில் ஒன்று மட்டுமே சான்றிதழின் உள்ளடக்கத்தைப் பற்றியது. செய்தி முழுமையற்ற சங்கிலி, அடையாளப் பொருந்தாமை மற்றும் ஆதரிக்கப்படாத விசை அல்லது கையொப்பம் ஆகியவற்றை உள்ளடக்கியது, ஒவ்வொன்றுக்கும் வேறுபட்ட பழுதுநீக்கம் உண்டு.
ஒரு செய்திக்குப் பின்னால் மூன்று தோல்விகள்
Android கேட்வே சான்றிதழிலிருந்து VPN சுயவிவரத்தில் தேர்ந்தெடுக்கப்பட்ட CA வரை சங்கிலியை உருவாக்கி, பின்னர் சேவையகப் பெயரை சுயவிவரத்துடன் ஒப்பிடுகிறது. அறிவிப்பு நிலையை அல்ல, முடிவைத் தெரிவிக்கிறது. நம்பிக்கை தோல்வி என்பது பரிமாற்றத்தில் வழங்கப்பட்ட சான்றிதழ்களிலிருந்து சங்கிலியை முடிக்க முடியவில்லை என்பதாகும்; அடையாளத் தோல்வி என்பது சங்கிலி சரிபார்க்கப்பட்டது ஆனால் பெயர் பொருந்தவில்லை என்பதாகும்; வழிமுறைத் தோல்வி என்பது சாதனம் அல்லது சுயவிவரம் விசை வகை அல்லது கையொப்பத்தை ஏற்கவில்லை என்பதாகும்.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
பழுதுநீக்கங்களை வரிசையாக முயற்சிப்பதற்குப் பதிலாக ஆதாரத்துடன் தீர்மானிக்கவும். டீமானுக்கு எதிராக பதிவு நிலை 2 இல் ஒரு முயற்சி நீங்கள் எந்த வரிசையில் இருக்கிறீர்கள் என்பதைச் சொல்லும், எப்போதும் தவறாக இல்லாத சான்றிதழை மீண்டும் வழங்குவதை விடக் குறைவான செலவு.
முதலில் தீர்மானிக்கவும்: முழு சங்கிலியும் வந்ததா?
strongSwan அந்த இணைப்பிற்கு உள்ளமைக்கப்பட்ட சான்றிதழை அனுப்புகிறது, இடைநிலை சான்றிதழ்கள் தனித்தனி உள்நுழைவுகள். டீமான் அவற்றை பேலோடில் வைப்பதற்கு முன் CA சான்றிதழ்களாக ஏற்றப்பட வேண்டும், எனவே சேவையக சான்றிதழ் இடைநிலையால் கையொப்பமிடப்பட்டு, ரூட் நம்பிக்கை நங்கூரமாகி, இடைநிலை CA இன் கட்டமைப்பு அடைவில் மட்டுமே இருக்கும் அமைப்பு சரியாக இந்தத் தோல்வியை உருவாக்குகிறது: கம்பியில் இலை மட்டும், தொலைபேசியில் சங்கிலி விரைவில் முடிகிறது.
swanctl பயன்பாட்டில் swanctl --list-certs அல்லது பழைய starter உடன் ipsec listcerts பயன்படுத்தி டீமான் என்ன வைத்திருக்கிறது என்பதைச் சரிபார்க்கவும். இடைநிலை அதற்கு மேலே ரூட்டுடன் CA சான்றிதழாகத் தோன்ற வேண்டும். அது இல்லை என்றால் எந்த கிளையண்ட் விருப்பமும் உதவாது; அது இருந்தால் அடுத்த கேள்விக்குச் செல்லுங்கள்.
பின்னர் அது அனுப்பப்படுமா என்பதைச் சரிபார்க்கவும். swanctl.conf குறிப்பு send_cert ஐ ஆவணப்படுத்துகிறது, அதன் இயல்புநிலை ifasked சகர் கேட்டால் மட்டுமே சான்றிதழ்களை அனுப்புகிறது; always எப்போதும் அனுப்புகிறது. பழைய சமமானது ipsec.conf இல் leftsendcert=always ஆகும். அந்த அமைப்பு அனுப்புதலைக் கட்டுப்படுத்துகிறது, கிடைக்கும் தன்மையை அல்ல, எனவே டீமான் ஒருபோதும் ஏற்றாத இடைநிலைக்கு அது ஈடுசெய்ய முடியாது.
சங்கிலி குறுகியதாக இருந்தால், டீமான் தேடும் இடத்தில் இடைநிலையை ஏற்றுங்கள்
இடைநிலையை இலையின் அருகில் அல்ல, CA அடைவில் வைக்கவும்: ipsec.conf அமைப்பிற்கு /etc/ipsec.d/cacerts, swanctl க்கு /etc/swanctl/x509ca, அல்லது உங்கள் தொகுப்பு மாற்றீடு செய்யும் பாதை. உள்ளமைவை மீண்டும் ஏற்றி சான்றிதழ்களை மீண்டும் பட்டியலிடுங்கள். சில பதிப்புகள் இலையின் கோப்பிற்குள் சங்கிலியைக் கொண்ட தொகுப்பையும் அனுப்புகின்றன, ஆனால் CA அடைவு பதிப்புகள் மற்றும் தொகுப்புகள் முழுவதும் எடுத்துச் செல்லக்கூடிய ஏற்பாடு.
கிளையண்ட் பக்கத்திலிருந்தும் சரிபார்க்கவும். தொலைபேசி பரிமாற்றம் கொண்டு வந்ததை மட்டுமே பார்க்கிறது, எனவே பதிவு நிலை 2 இல் உள்ள டீமான் பதிவு அனுப்பப்பட்ட சான்றிதழ்களில் இடைநிலையைக் காட்ட வேண்டும். பதிவு அதைக் காட்டினாலும் தொலைபேசி இன்னும் தோல்வியடைந்தால், நீங்கள் அட்டவணையின் வேறு வரிசையில் உள்ளீர்கள், CA கோப்புகளைத் தொடர்ந்து சரிசெய்வது முடிவை மாற்றாது.
சங்கிலி முழுமையாக இருந்தால், சான்றிதழ்களைத் திருத்துவதை நிறுத்துங்கள்
அடையாளத் தோல்வி என்பது VPN சுயவிவரத்தில் உள்ள பெயருக்கும் சான்றிதழில் உள்ள பெயருக்கும் இடையிலான பொருந்தாமை. Android நீங்கள் உள்ளமைத்த சேவையக அடையாளத்தை அது சரிபார்த்த சான்றிதழுடன் ஒப்பிடுகிறது, எனவே சான்றிதழ் புரவலன் பெயரைக் குறிப்பிடும்போது முகவரியைச் சுட்டும் சுயவிவரம், அல்லது சான்றிதழ் உள்ளடக்காத புரவலன் பெயரைக் குறிப்பிடும் சுயவிவரம், வெற்றிகரமான சங்கிலி சரிபார்ப்புக்குப் பிறகு தோல்வியடைகிறது. தவறான பக்கத்தைச் சரிசெய்து, ஏதேனும் ஒன்று மாறும்போது சுயவிவரத்தையும் சான்றிதழையும் ஒத்திசைவாக வைத்திருங்கள்.
வழிமுறைத் தோல்வி செல்லுபடியாகும் சங்கிலி மற்றும் பொருந்தும் பெயருடன் தோன்றுகிறது. Android பதிப்புகள் எந்த விசை வகைகள் மற்றும் கையொப்பத் திட்டங்களை ஏற்கின்றன என்பதில் வேறுபடுகின்றன, சுயவிவர வகையே விருப்பங்களைக் கட்டுப்படுத்துகிறது. கேட்வே பழைய அல்லது அசாதாரண கலவையைப் பயன்படுத்தினால், சான்றிதழ் சிதைந்தது என்று கருதுவதற்கு முன் சாதனம் ஆதரிப்பதுடன் ஒப்பிடுங்கள். டீமான் பதிவு நம்பிக்கை வழக்கை விட கைக்குலுக்கல் மேலும் செல்வதைக் காட்டும், அதுவே சங்கிலி இனி பிரச்சினை இல்லை என்பதற்கான அறிகுறி.
இடைநிலையை தொலைபேசியில் பயனர் ரூட்டாக நிறுவ வேண்டாம்
காணாமல் போன இடைநிலையை தொலைபேசியில் பயனர் சான்றிதழாக நிறுவுவது எச்சரிக்கையை மறையச் செய்து, பயனர்-நிறுவிய ரூட்டுகளை ஏற்கும் ஒவ்வொரு பயன்பாட்டிற்கும் தொலைபேசியின் நம்பிக்கை மாதிரியை மாற்றுகிறது. அடுத்த கிளையண்டைத் தாக்கும் விநியோகப் பிழையையும் அது மறைக்கிறது, எதிர்கால ஒவ்வொரு சாதனத்திற்கும் கேட்வே முழுமையற்ற சங்கிலியை அனுப்ப வைக்கிறது. நீடித்த பழுதுநீக்கம் சேவையகத்தில், ஒரு முறை, அனைத்து கிளையண்டுகளுக்கும்.
மாற்றப் பதிவில் மூன்று முடிவுகளைத் தனித்தனியாக வைத்திருங்கள்: எந்த சான்றிதழ்கள் அனுப்பப்பட்டன, எந்த அடையாளம் ஒப்பிடப்பட்டது, எந்த வழிமுறை பேச்சுவார்த்தை செய்யப்பட்டது. எப்போதும் தனது முழு சங்கிலியை அனுப்பும் கேட்வே, சான்றிதழைச் சரியாகப் பெயரிடும் சுயவிவரம், மற்றும் குழு ஆதரிக்கும் விசை வகை — இவை மூன்று சிறிய உண்மைகள், இந்த முழு தோல்வியும் அவ்வளவே.