strongSwan send_cert: IKE சான்றிதழ் எப்போது அனுப்பப்படுகிறது

நுழைவாயில்கள் சான்றிதழ் தொடர்பான அங்கீகார தோல்விகளைப் பதிவு செய்கின்றன, முதல் எதிர்வினை பெறுநருக்கு இன்னொரு CA சேர்ப்பது. அது சான்றிதழ் வந்து நிராகரிக்கப்பட்டதாகக் கருதுகிறது. மற்ற சாத்தியம் அது ஒருபோதும் அனுப்பப்படவில்லை என்பது, அதை அனுப்புநரின் இணைப்புக் கொள்கை தீர்மானிக்கிறது. நம்பிக்கையை மாற்றும் முன் இரண்டில் எது நடந்தது என்பதைத் தீர்மானிக்கவும்.

send_cert உண்மையில் எதைக் கட்டுப்படுத்துகிறது

சான்றிதழ் மூலம் அங்கீகரிப்புக்கு peer இன் இறுதி-நிறுவன சான்றிதழ் IKE பரிமாற்றம் அல்லது முன் தயாரிப்பு வழியாக மறுபக்கத்தை அடைய வேண்டும். swanctl இல் இணைப்பு அமைப்பு send_cert இந்த இறுதிப் புள்ளி தனது சான்றிதழ் பேலோடைச் சேர்க்கிறதா என்பதைத் தீர்மானிக்கிறது: ஒருபோதும் இல்லை, எப்போதும் அல்லது ifasked. இயல்புநிலை ifasked அதை peer இடமிருந்து வரும் சான்றிதழ் கோரிக்கைக்குப் பதிலாக அனுப்புகிறது. சான்றிதழ் கேட்பது தனி அமைப்பு, ஏனெனில் மறுபக்கத்திடம் அதன் சான்றிதழைக் கேட்பது தன்னுடையதை வழங்குவதற்குச் சமம் அல்ல.

பழைய ipsec.conf பயன்பாடுகள் leftsendcert மற்றும் rightsendcert ஐப் பயன்படுத்தின, அந்தப் பெயர்கள் உள்ளூர் மற்றும் தொலை பங்குகளுடன் பொருந்துகின்றன, நேரடியாக swanctl உடன் அல்ல.

இணைப்பை மாற்றும் முன் ஒரு முயற்சியைப் படிக்கவும்

ஒரு கட்டுப்படுத்தப்பட்ட முயற்சியிலிருந்து கண்டறியவும், சான்றிதழ்கள் தொடர்புடையவை என்ற பொதுவான எண்ணத்திலிருந்து அல்ல. கொள்கை மற்றும் செயலில் உள்ள இணைப்பு இரண்டையும் பரிசோதிக்கலாம்.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

இணைப்பு பட்டியல் கட்டமைக்கப்பட்ட send_cert மதிப்பைக் காட்டுகிறது, SA பட்டியல் எந்த இணைப்புகள் உண்மையில் எழுந்தன என்பதைக் காட்டுகிறது. பதிவு பேச்சுவார்த்தை விவரங்களைச் சேர்க்கிறது: சான்றிதழ் கோரிக்கை பெறப்பட்டதா மற்றும் சான்றிதழ் பேலோடு வெளியேறியதா. பொதுவான அங்கீகார தோல்வி வழங்கல் சிக்கலைக் குறிக்காது, எனவே எந்த முடிவும் எடுக்கும் முன் குறிப்பிட்ட பரிமாற்றத்தைத் தேடுங்கள். முயற்சியின் நேர முத்திரையைப் பதிவு செய்யவும், பதிவு சாளரம் முழு கைக்குலுக்கையையும் உள்ளடக்கும் வகையில்.

பெறுநரின் நம்பிக்கை தனி முடிவு

வழங்கல் மற்றும் நம்பிக்கை வெவ்வேறு பண்புகள், ஒன்றைச் சரிசெய்வது மற்றொன்றைச் சரிசெய்யாது. பெறுநரிடம் எண்ணிய நம்பிக்கை நங்கூரம் இருக்க வேண்டும், பயன்படுத்தக்கூடிய சங்கிலியைப் பெற வேண்டும், எதிர்பார்க்கப்பட்ட peer அடையாளத்துடன் பொருந்த வேண்டும். தனது இடைநிலை சான்றிதழ் இல்லாமல் வரும் இறுதி-நிறுவன சான்றிதழ் கடுமையான சங்கிலி சரிபார்ப்பில் இன்னும் தோல்வியடைகிறது. மாறாக, ஒரு CA நிறுவுவது peer ஐ தனது சான்றிதழை அனுப்பவே பலவந்தப்படுத்தாது.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

பரிசோதனை எந்த வழங்குநர் சான்றிதழில் கையெழுத்திட்டது மற்றும் எப்போது காலாவதியாகிறது என்பதைக் காட்டுகிறது, பெறுநரின் நங்கூரம் அதற்குப் பொருந்த வேண்டும். பயன்பாட்டின் உடைமையான வழங்குநர் CA ஐ நம்புங்கள், சங்கிலியின் ஒவ்வொரு இடைநிலை சான்றிதழையும் அல்ல, ஏனெனில் ஒவ்வொரு இடைநிலையையும் வேராக உயர்த்துவது நம்பிக்கையை ஒரு peer ஐ விட மிக அதிகமாக விரிவாக்குகிறது. அடையாள சரிபார்ப்பை செயலில் வைத்திருங்கள், ஏனெனில் சரிபார்ப்பை மட்டும் அணைத்து வெற்றிபெறும் இணைப்பு சரிசெய்தல் அல்ல. சங்கிலி முழுமையற்ற இடத்தில், தயாரிப்பைச் சரிசெய்யுங்கள், அனுப்புநரின் கொள்கையை அல்ல.

ஆதாரத்துடன் மட்டுமே அனுப்புநரை மாற்றுங்கள்

சான்றிதழ் ஒருபோதும் அனுப்பப்படவில்லை என்றும் பெறுநர் உண்மையில் அதைக் கேட்டார் என்றும் பதிவு காட்டும்போது, send_cert ஐ always ஆக அமைப்பது அந்த இணைப்புக்கு நியாயமான மாற்றம். அதை swanctl கட்டமைப்பில் பயன்படுத்தி, இணைப்புகளை மீண்டும் ஏற்றி, தற்போதைய SA ஐ மீண்டும் பயன்படுத்துவதற்குப் பதிலாக புதிய அமர்வை நிறுவுங்கள். சான்றிதழ் பேலோடு இப்போது தோன்றுகிறது என்பதையும், பெறுநர் அதை எண்ணிய நங்கூரத்திற்கு எதிராக ஏற்கிறார் என்பதையும் உறுதிப்படுத்துங்கள். எதுவும் மாறவில்லை என்றால், பிழை நம்பிக்கைப் பக்கத்தில் இருந்தது, அனுப்புநர் அமைப்பு காரணம் அல்ல.

கவனிக்கப்பட்ட பரிமாற்றம், நங்கூரம் மற்றும் அதன் விளைவான சரிபார்ப்பை மாற்றப் பதிவில் எழுதுங்கள். இந்தச் சொற்களில் விவரிக்க முடியாத சான்றிதழ் சரிசெய்தல் தற்செயல்.