strongSwan send_cert: kailan ipinapadala ang IKE certificate

Nagtatala ang mga gateway ng mga pagkabigo sa authentication na may kaugnayan sa certificate, at ang unang reaksiyon ay magdagdag ng isa pang CA sa tatanggap. Ipinapalagay niyon na dumating ang certificate at tinanggihan ito. Ang iba pang posibilidad ay hindi ito naipadala kailanman, at ang patakaran ng koneksyon ng nagpadala ang nagpapasya niyon. Alamin kung alin sa dalawa ang nangyari bago baguhin ang tiwala.

Ano ang tunay na kinokontrol ng send_cert

Kailangan ng authentication sa certificate na makarating ang certificate ng end entity ng peer sa kabilang panig sa pamamagitan ng palitan ng IKE o ng naunang paghahanda. Sa swanctl, tinutukoy ng setting ng koneksyon send_cert kung isasama ng endpoint na ito ang payload ng certificate nito: hindi kailanman, palagi o ifasked. Ipinapadala ito ng default na ifasked bilang tugon sa kahilingan ng certificate mula sa peer. Ang paghingi ng certificate ay hiwalay na setting, dahil ang paghingi sa kabilang panig ng certificate nito ay hindi katulad ng pag-aalok ng sarili mo.

Gumamit ang mga lumang deployment ng ipsec.conf ng leftsendcert at rightsendcert, at ang mga pangalang iyon ay tumutukoy sa lokal at malayong papel, hindi direkta sa swanctl.

Magbasa ng isang pagtatangka bago baguhin ang koneksyon

Mag-diagnose mula sa isang kontroladong pagtatangka, hindi mula sa pangkalahatang impresyon na may kinalaman ang mga certificate. Maaaring suriin kapwa ang patakaran at ang aktibong asosasyon.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Ipinapakita ng listahan ng koneksyon ang naka-configure na halaga ng send_cert, at ipinapakita ng listahan ng SA kung aling mga koneksyon ang tunay na bumangon. Nagdaragdag ang log ng mga detalye ng negosasyon: kung may natanggap na kahilingan ng certificate at kung may lumabas na payload ng certificate. Ang pangkalahatang pagkabigo sa authentication ay hindi tumutukoy ng problema sa paghahatid, kaya hanapin ang partikular na palitan bago maghinuha ng anuman. Itala ang timestamp ng pagtatangka upang masaklaw ng window ng log ang buong handshake.

Ang tiwala ng tatanggap ay hiwalay na desisyon

Magkaiba ang paghahatid at tiwala, at ang pag-aayos ng isa ay hindi nag-aayos ng iba. Kailangang taglayin ng tatanggap ang inilaan na anchor ng tiwala, makatanggap ng magagamit na chain at tumugma sa inaasahang pagkakakilanlan ng peer. Ang certificate ng end entity na dumarating nang walang intermediate nito ay nabibigo pa rin sa mahigpit na pagsusuri ng chain. Sa kabaligtaran, ang pag-install ng CA ay hindi nagpipilit sa peer na ipadala ang certificate nito.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Ipinapakita ng pagsusuri kung aling issuer ang pumirma sa certificate at kailan ito magwawakas, at doon dapat tumugma ang anchor ng tatanggap. Magtiwala sa issuing CA na pag-aari ng deployment, hindi sa bawat intermediate sa chain, dahil ang pag-angat sa bawat intermediate tungo sa root ay nagpapalawak ng tiwala nang lampas sa isang peer. Panatilihing aktibo ang pagpapatunay ng pagkakakilanlan, dahil ang koneksyong matagumpay lamang kapag patay ang validation ay hindi pag-aayos. Kung saan kulang ang chain, ayusin ang paghahanda at hindi ang patakaran ng nagpadala.

Baguhin ang nagpadala lamang kapag may ebidensya

Kapag ipinakita ng log na hindi kailanman naipadala ang certificate at hiniling ito ng tatanggap, ang pagtatakda ng send_cert sa always ay makatuwirang pagbabago para sa koneksyong iyon. Ilapat ito sa konfigurasyon ng swanctl, i-reload ang mga koneksyon at magtatag ng bagong sesyon sa halip na gamitin muli ang umiiral na SA. Kumpirmahin na lumilitaw na ngayon ang payload ng certificate at tinatanggap ito ng tatanggap laban sa inilaan na anchor. Kung walang nagbabago, nasa panig ng tiwala pa rin ang sira at hindi ang setting ng nagpadala ang dahilan.

Isulat ang naobserbahang palitan, ang anchor at ang resultang pagpapatunay sa talaan ng pagbabago. Ang pag-aayos ng certificate na hindi maipaliwanag sa mga terminong iyon ay isang pagkakataon.