Android IKEv2 విశ్వాస లోపం: రూట్ కాదు, మధ్యవర్తి CA పంపండి
పొందిన గొలుసు త్వరగా ముగిసినందున ఫోన్ గేట్‌వేను తిరస్కరిస్తుంది. మధ్యవర్తిని పంపాలా, గుర్తింపును సరిచేయాలా లేదా కీ రకాన్ని మార్చాలా నిర్ణయించండి.
ఫోన్ కనెక్ట్ కావడానికి నిరాకరించి No trusted RSA public key found for vpn.example.net ను ముద్రిస్తుంది, అయితే అదే గేట్‌వే సర్టిఫికెట్ అదే నెట్‌వర్క్‌లోని ల్యాప్‌టాప్ నుండి పని చేస్తుంది. సర్టిఫికెట్‌ను మళ్లీ జారీ చేయడం ఆకర్షణీయమైన చర్య. అలా చేసే ముందు, మూడు వైఫల్యాలలో మీకు ఏది ఉందో కనుగొనండి, ఎందుకంటే వాటిలో ఒకటి మాత్రమే సర్టిఫికెట్ కంటెంట్ గురించి. సందేశం అసంపూర్ణ గొలుసు, గుర్తింపు అసమానత మరియు మద్దతు లేని కీ లేదా సంతకాన్ని కవర్ చేస్తుంది, ప్రతిదానికి వేర్వేరు పరిష్కారం ఉంది.
ఒక సందేశం వెనుక మూడు వైఫల్యాలు
Android గేట్‌వే సర్టిఫికెట్ నుండి VPN ప్రొఫైల్‌లో ఎంచుకున్న CA వరకు గొలుసును నిర్మిస్తుంది, ఆపై సర్వర్ పేరును ప్రొఫైల్‌తో పోలుస్తుంది. నోటిఫికేషన్ దశను కాదు, ఫలితాన్ని నివేదిస్తుంది. విశ్వాస వైఫల్యం అంటే మార్పిడిలో అందించిన సర్టిఫికెట్ల నుండి గొలుసును పూర్తి చేయలేకపోయింది; గుర్తింపు వైఫల్యం అంటే గొలుసు ధృవీకరించబడింది కానీ పేరు సరిపోలలేదు; అల్గోరిథం వైఫల్యం అంటే పరికరం లేదా ప్రొఫైల్ కీ రకాన్ని లేదా సంతకాన్ని అంగీకరించదు.
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
పరిష్కారాలను వరుసగా ప్రయత్నించడం బదులు సాక్ష్యంతో నిర్ణయించండి. డీమన్‌కు వ్యతిరేకంగా లాగ్ స్థాయి 2లో ఒక ప్రయత్నం మీరు ఏ వరుసలో ఉన్నారో చెబుతుంది, మరియు ఎప్పుడూ తప్పు కాని సర్టిఫికెట్‌ను మళ్లీ జారీ చేయడం కంటే తక్కువ ఖర్చు.
మొదట నిర్ణయించండి: మొత్తం గొలుసు వచ్చిందా?
strongSwan ఆ కనెక్షన్ కోసం కాన్ఫిగర్ చేసిన సర్టిఫికెట్‌ను పంపుతుంది, మధ్యవర్తి సర్టిఫికెట్లు ప్రత్యేక ఆధారాలు. డీమన్ వాటిని పేలోడ్‌లో ఉంచడానికి ముందు అవి CA సర్టిఫికెట్లుగా లోడ్ చేయాలి, కాబట్టి సర్వర్ సర్టిఫికెట్ మధ్యవర్తి ద్వారా సంతకం చేయబడి, రూట్ విశ్వాస యాంకర్ అయి, మధ్యవర్తి CA యొక్క బిల్డ్ డైరెక్టరీలో మాత్రమే ఉండే అమరిక సరిగ్గా ఈ వైఫల్యాన్ని ఉత్పత్తి చేస్తుంది: వైర్‌పై ఆకు మాత్రమే, ఫోన్‌లో గొలుసు త్వరగా ముగుస్తుంది.
swanctl డిప్లాయ్‌మెంట్‌లో swanctl --list-certs లేదా పాత starter తో ipsec listcerts ఉపయోగించి డీమన్ ఏమి కలిగి ఉందో తనిఖీ చేయండి. మధ్యవర్తి దాని పైన రూట్‌తో CA సర్టిఫికెట్‌గా కనిపించాలి. అది లేకపోతే ఏ క్లయింట్ ఎంపిక సహాయం చేయదు; అది ఉంటే తదుపరి ప్రశ్నకు వెళ్లండి.
తర్వాత అది పంపబడుతుందో లేదో తనిఖీ చేయండి. swanctl.conf సూచన send_cert ను డాక్యుమెంట్ చేస్తుంది, దాని డిఫాల్ట్ ifasked సహచరుడు అడిగినప్పుడు మాత్రమే సర్టిఫికెట్లను పంపుతుంది; always ఎల్లప్పుడూ పంపుతుంది. పాత సమానమైనది ipsec.conf లో leftsendcert=always. ఆ సెట్టింగ్ పంపడాన్ని నియంత్రిస్తుంది, లభ్యతను కాదు, కాబట్టి డీమన్ ఎప్పుడూ లోడ్ చేయని మధ్యవర్తికి అది పరిహారం ఇవ్వలేదు.
గొలుసు చిన్నదైతే, డీమన్ వెతికే చోట మధ్యవర్తిని లోడ్ చేయండి
మధ్యవర్తిని ఆకు పక్కన కాదు, CA డైరెక్టరీలో ఉంచండి: ipsec.conf సెటప్‌కు /etc/ipsec.d/cacerts, swanctl కు /etc/swanctl/x509ca, లేదా మీ ప్యాకేజీ భర్తీ చేసే మార్గం. కాన్ఫిగరేషన్‌ను మళ్లీ లోడ్ చేసి సర్టిఫికెట్లను మళ్లీ జాబితా చేయండి. కొన్ని వెర్షన్లు ఆకు ఫైల్ లోపల గొలుసును కలిగి ఉన్న బండిల్‌ను కూడా పంపుతాయి, కానీ CA డైరెక్టరీ వెర్షన్లు మరియు ప్యాకేజీల అంతటా తరలించగల ఏర్పాటు.
క్లయింట్ వైపు నుండి కూడా ధృవీకరించండి. ఫోన్ మార్పిడి తెచ్చినదాన్ని మాత్రమే చూస్తుంది, కాబట్టి లాగ్ స్థాయి 2లోని డీమన్ లాగ్ పంపిన సర్టిఫికెట్లలో మధ్యవర్తిని చూపించాలి. లాగ్ దాన్ని చూపించినా ఫోన్ ఇంకా విఫలమైతే, మీరు పట్టికలోని వేరే వరుసలో ఉన్నారు, CA ఫైళ్లను సర్దుబాటు చేస్తూనే ఉంటే ఫలితం మారదు.
గొలుసు పూర్తి అయితే, సర్టిఫికెట్లను సవరించడం ఆపండి
గుర్తింపు వైఫల్యం అంటే VPN ప్రొఫైల్‌లోని పేరు మరియు సర్టిఫికెట్‌లోని పేరు మధ్య అసమానత. Android మీరు కాన్ఫిగర్ చేసిన సర్వర్ గుర్తింపును అది ధృవీకరించిన సర్టిఫికెట్‌తో పోలుస్తుంది, కాబట్టి సర్టిఫికెట్ హోస్ట్‌నామ్ పేర్కొంటున్నప్పుడు చిరునామాను సూచించే ప్రొఫైల్, లేదా సర్టిఫికెట్ కవర్ చేయని హోస్ట్‌నామ్ పేర్కొనే ప్రొఫైల్, విజయవంతమైన గొలుసు ధృవీకరణ తర్వాత విఫలమవుతుంది. తప్పు వైపును సరిచేయండి, ఏదైనా మారినప్పుడు ప్రొఫైల్ మరియు సర్టిఫికెట్‌ను సమన్వయంగా ఉంచండి.
అల్గోరిథం వైఫల్యం చెల్లుబాటు అయ్యే గొలుసు మరియు సరిపోలే పేరుతో కనిపిస్తుంది. Android వెర్షన్లు ఏ కీ రకాలు మరియు సంతకం పథకాలను అంగీకరిస్తాయనే విషయంలో భిన్నంగా ఉంటాయి, మరియు ప్రొఫైల్ రకం దానంతట అదే ఎంపికలను పరిమితం చేస్తుంది. గేట్‌వే పాత లేదా అసాధారణ కలయికను ఉపయోగిస్తే, సర్టిఫికెట్ దెబ్బతిన్నదని భావించే ముందు పరికరం మద్దతు ఇచ్చే దానితో పోల్చండి. డీమన్ లాగ్ విశ్వాస కేసు కంటే హ్యాండ్‌షేక్ ముందుకు సాగుతున్నట్లు చూపుతుంది, అదే గొలుసు ఇక సమస్య కాదని సంకేతం.
మధ్యవర్తిని ఫోన్‌లో వినియోగదారు రూట్‌గా ఇన్‌స్టాల్ చేయవద్దు
తప్పిపోయిన మధ్యవర్తిని ఫోన్‌లో వినియోగదారు సర్టిఫికెట్‌గా ఇన్‌స్టాల్ చేయడం హెచ్చరికను అదృశ్యం చేస్తుంది మరియు వినియోగదారు-ఇన్‌స్టాల్ చేసిన రూట్‌లను అంగీకరించే ప్రతి యాప్‌కు ఫోన్ విశ్వాస నమూనాను మారుస్తుంది. తదుపరి క్లయింట్‌ను తాకే డెలివరీ బగ్‌ను కూడా దాచుతుంది, మరియు గేట్‌వే భవిష్యత్తు ప్రతి పరికరానికి అసంపూర్ణ గొలుసును పంపేలా చేస్తుంది. శాశ్వత పరిష్కారం సర్వర్‌లో, ఒకసారి, అన్ని క్లయింట్లకు.
మార్పు రికార్డులో మూడు నిర్ణయాలను వేరుగా ఉంచండి: ఏ సర్టిఫికెట్లు పంపబడ్డాయి, ఏ గుర్తింపు పోల్చబడింది, మరియు ఏ అల్గోరిథం చర్చించబడింది. ఎల్లప్పుడూ తన పూర్తి గొలుసును పంపే గేట్‌వే, సర్టిఫికెట్‌ను సరిగ్గా పేర్కొనే ప్రొఫైల్, మరియు ఫ్లీట్ మద్దతు ఇచ్చే కీ రకం — ఇవి మూడు చిన్న వాస్తవాలు, మరియు ఈ మొత్తం వైఫల్యం అంతే.