strongSwan: anahtar türü, yükleyici ve yanlış backend

PEM bir kapsayıcıdır, anahtar türü değildir. Sertifikanın ortak anahtarını özel anahtarla karşılaştırın, ardından onu gerçekten okuyan backend üzerinden yükleyin.

Dosya uzantıları anahtar algoritmalarını tanımlamaz ve bir .pem zarfı RSA veya ECDSA malzemesi içerebilir. PEM baytların nasıl sarıldığını açıklar, RSA ve ECDSA ise farklı algoritmaları adlandırır ve bir PKCS12 dosyası yine üçüncü bir şeydir. strongSwan kimlik bilgilerini eklentiler ve bir yapılandırma backend'i aracılığıyla yükler, bu nedenle bir sertifika listede görünebilirken özel anahtar hiçbir zaman kullanılabilir hale gelmez. Herhangi bir sırrı düzenlemeden önce bu katmanları ayırın.

Kodlama, algoritma ve paketleme üç katmandır

Bir anahtar dosyasının kodlaması, algoritması ve çoğu zaman bir kapsayıcısı vardır. PEM tanıdık base64 zarfıdır; DER onun ikili karşılığıdır; PKCS12 bir sertifikayı anahtarı ve zinciriyle birlikte paketler. Sertifika zinciri dosyası bir başka kapsayıcıdır ve genellikle hiç özel anahtar içermez. Bu etiketlerin hiçbiri içerideki malzemenin RSA mi ECDSA mi olduğunu söylemez.

Algoritmayı nesnenin kendisinden okuyun. Bir sağlayıcının pazarlama adı veya dosya uzantısı kanıt değildir, çünkü aynı veren kuruluş farklı anahtar türleri verebilir.

Yükleyiciyi suçlamadan önce ortak anahtarları karşılaştırın

Yüklenen bir sertifika, sertifikanın ayrıştırıldığını kanıtlar, özel anahtarının var olduğunu veya kullanılabilir olduğunu değil. Ortak anahtarı sertifikadan ve önerilen özel anahtardan türetin, ardından iki özeti karşılaştırın. Çıkarmalardan biri başarısız olursa orada durun, çünkü boş bir çıktının özeti hiçbir şeyi kanıtlamaz. Eşleşen özetler çiftin birbirine ait olduğunu kanıtlar ve sertifikanın işe uygunluğu hakkında başka bir şeyi değil.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

İkinci komut makinenizdeki özel malzemeye dokunur ancak yalnızca ortak yarıyı yayımlar. Öyle bırakın ve özel anahtarı asla bir bilete yapıştırmayın. Anahtar şifrelenmişse, desteklenen aracın parola ifadesini sormasına izin verin; süreç listesinin açığa çıkarabileceği bir komut satırına koymayın.

Eski ipsec.secrets veya swanctl kimlik bilgileri

strongSwan'ın yaygın olarak kullanılan iki kimlik bilgisi yolu vardır. Eski starter yığını türe özgü girişleri şuradan okur: ipsec.secrets, ve her giriş malzeme için doğru türü belirtmelidir. swanctl ve vici yığını anahtarları kendi kimlik bilgisi dizininden kendi yapılandırmasıyla yükler. Çalışan backend'in okumadığı dosyayı düzenlemek hiçbir şeyi değiştirmez.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Hangi backend'in gerçekten çalıştığını bulun, ardından anahtarı o backend'in baktığı yere koyun. eski strongSwan 5.9 kılavuzu türe özgü sır girişlerini tanımlar ve bu swanctl belgeleri değildir. İkisini karıştırmak, yöneticinin yetkili saydığı bir dosyayı yok sayan bir daemon üretir. Hata bildirmeyen bir yeniden yükleme yalnızca yapılandırmanın ayrıştırıldığı anlamına gelir.

Yükleme olayını ve kimlik doğrulama sonucunu okuyun

Kontrollü bir yeniden yüklemeden sonra, belirli anahtar için daemon'un kendi yükleme çıktısını okuyun. Bir durum dökümünde listelenen sertifika, özel anahtarın onunla eşleştirildiğini göstermez.

Bir istemci hâlâ başarısız oluyorsa, sunucu olayını ve istemci hatasını ayrı tutun. Zincir doğrulama, kimlik eşleştirme ve yöntem uyumluluğu kendi kanıtları olan sonraki sorulardır. Sonucu tam anahtar yolu ve karşılaştırdığınız özetle birlikte yazın, çünkü aksi halde bir sonraki vardiya aynı yeniden yüklemeyi tekrarlar. Yükleyici uyuşmazlığına CA'yı değiştirmek ilk tepki değildir.

İlgili makaleler