strongSwan: சாவி வகை, ஏற்றி மற்றும் தவறான backend

கோப்பு நீட்டிப்புகள் சாவி அல்காரிதங்களை அடையாளம் காணவில்லை, மேலும் .pem உறையில் RSA அல்லது ECDSA பொருள் இருக்கலாம். PEM பைட்டுகள் எவ்வாறு சுற்றப்படுகின்றன என்பதை விவரிக்கிறது, ஆனால் RSA மற்றும் ECDSA வெவ்வேறு அல்காரிதங்களின் பெயர்கள், மேலும் PKCS12 கோப்பு மூன்றாவது விஷயம். strongSwan செருகிகளும் உள்ளமைவு backend வழியாகவும் சான்றுகளை ஏற்றுகிறது, எனவே சான்றிதழ் பட்டியலில் தோன்றலாம் ஆனால் தனிப்பட்ட சாவி ஒருபோதும் பயன்படுத்தக்கூடியதாக ஆகாது. எந்த ரகசியத்தையும் திருத்துவதற்கு முன் அந்த அடுக்குகளை பிரிக்கவும்.

குறியாக்கம், அல்காரிதம் மற்றும் தொகுத்தல் மூன்று அடுக்குகள்

சாவி கோப்பில் குறியாக்கம், அல்காரிதம் மற்றும் பெரும்பாலும் ஒரு கொள்கலன் இருக்கும். PEM பரிச்சயமான base64 உறை; DER அதன் இருமச் சமமானது; PKCS12 ஒரு சான்றிதழை அதன் சாவி மற்றும் சங்கிலியுடன் இணைக்கிறது. சான்றிதழ்-சங்கிலி கோப்பு மற்றொரு கொள்கலன், மேலும் அதில் பொதுவாக எந்த தனிப்பட்ட சாவியும் இல்லை. இந்த லேபிள்கள் எதுவும் உள்ளே உள்ள பொருள் RSA அல்லது ECDSA என்பதைச் சொல்லவில்லை.

அல்காரிதத்தை பொருளிலிருந்தே படிக்கவும். வழங்குநரின் சந்தைப்படுத்தல் பெயர் அல்லது கோப்பு நீட்டிப்பு சான்று அல்ல, ஏனெனில் ஒரே வழங்குநர் வெவ்வேறு சாவி வகைகளை வழங்கலாம்.

ஏற்றியைக் குறை சொல்வதற்கு முன் பொது சாவிகளை ஒப்பிடுங்கள்

ஏற்றப்படும் சான்றிதழ் சான்றிதழ் பகுக்கப்பட்டது என்பதை நிரூபிக்கிறது, அதன் தனிப்பட்ட சாவி உள்ளது அல்லது பயன்படுத்தக்கூடியது என்பதை அல்ல. சான்றிதழ் மற்றும் முன்மொழியப்பட்ட தனிப்பட்ட சாவியிலிருந்து பொது சாவியைப் பெற்று, பின்னர் இரண்டு டைஜெஸ்ட்களை ஒப்பிடுங்கள். எந்த பிரித்தெடுத்தலும் தோல்வியடைந்தால் அங்கேயே நிறுத்துங்கள், ஏனெனில் காலி வெளியீட்டின் டைஜெஸ்ட் எதையும் நிரூபிக்காது. பொருந்தும் டைஜெஸ்ட்கள் அந்த இணை ஒன்றாக இருப்பதை நிரூபிக்கின்றன, மேலும் சான்றிதழ் வேலைக்கு ஏற்றதா என்பது பற்றி வேறொன்றும் இல்லை.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

இரண்டாவது கட்டளை உங்கள் இயந்திரத்தில் உள்ள தனிப்பட்ட பொருளைத் தொடுகிறது ஆனால் பொது பாதியை மட்டுமே வெளியிடுகிறது. அப்படியே வைத்திருங்கள், ஒருபோதும் டிக்கெட்டில் தனிப்பட்ட சாவியை ஒட்டாதீர்கள். சாவி மறையாக்கப்பட்டிருந்தால், ஆதரிக்கப்பட்ட கருவி கடவுச்சொற்றொடரைக் கேட்க அனுமதிக்கவும், செயல்முறை பட்டியல் வெளிப்படுத்தக்கூடிய கட்டளை வரியில் வைப்பதற்குப் பதிலாக.

பழைய ipsec.secrets அல்லது swanctl சான்றுகள்

strongSwan இல் பொதுவாகப் பயன்படுத்தப்படும் இரண்டு சான்று பாதைகள் உள்ளன. பழைய starter ஸ்டாக் வகை-குறிப்பிட்ட உள்ளீடுகளை இதிலிருந்து படிக்கிறது: ipsec.secrets, மேலும் ஒவ்வொரு உள்ளீடும் பொருளுக்கு சரியான வகையைக் குறிப்பிட வேண்டும். swanctl மற்றும் vici ஸ்டாக் தனது சொந்த சான்று அடைவிலிருந்து தனது சொந்த உள்ளமைவின் மூலம் சாவிகளை ஏற்றுகிறது. இயங்கும் backend படிக்காத கோப்பைத் திருத்துவது எதையும் மாற்றாது.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

எந்த backend உண்மையில் இயங்குகிறது என்பதைக் கண்டறிந்து, அந்த backend பார்க்கும் இடத்தில் சாவியை வைக்கவும். strongSwan 5.9 பழைய கையேடு வகை-குறிப்பிட்ட ரகசிய உள்ளீடுகளை வரையறுக்கிறது, இது swanctl ஆவணம் அல்ல. இரண்டையும் கலப்பது, நிர்வாகி அதிகாரப்பூர்வமாகக் கருதும் கோப்பை புறக்கணிக்கும் ஒரு டீமனை உருவாக்குகிறது. பிழையைப் புகாரளிக்காத மீள்ஏற்றுதல் என்பது உள்ளமைவு பகுக்கப்பட்டது என்பதை மட்டுமே குறிக்கிறது.

ஏற்றுதல் நிகழ்வையும் அங்கீகார முடிவையும் படிக்கவும்

கட்டுப்படுத்தப்பட்ட மீள்ஏற்றுதலுக்குப் பிறகு, குறிப்பிட்ட சாவிக்கான டீமனின் சொந்த ஏற்றுதல் வெளியீட்டைப் படிக்கவும். நிலை டம்பில் பட்டியலிடப்பட்ட சான்றிதழ், தனிப்பட்ட சாவி அதனுடன் பொருத்தப்பட்டதைக் காட்டவில்லை.

வாடிக்கையாளர் இன்னும் தோல்வியடைந்தால், சேவையக நிகழ்வையும் வாடிக்கையாளர் பிழையையும் தனித்தனியாக வைத்திருங்கள். சங்கிலி சரிபார்ப்பு, அடையாளப் பொருத்தம் மற்றும் முறை இணக்கம் தங்கள் சொந்த ஆதாரங்களைக் கொண்ட பிற்கால கேள்விகள். முடிவைத் துல்லியமான சாவி பாதை மற்றும் நீங்கள் ஒப்பிட்ட டைஜெஸ்டுடன் எழுதி வைக்கவும், இல்லையெனில் அடுத்த மாற்றம் அதே மீள்ஏற்றுதலை மீண்டும் செய்யும். ஏற்றி பொருந்தாமைக்கு CA ஐ மாற்றுவது முதல் பதில் அல்ல.