اینڈرائیڈ IKEv2 اعتماد کی خرابی: درمیانی CA بھیجیں، جڑ نہیں
فون گیٹ وے کو مسترد کرتا ہے کیونکہ موصولہ زنجیر جلدی ختم ہو جاتی ہے۔ فیصلہ کریں: درمیانی بھیجیں، شناخت درست کریں، یا کلید کی قسم بدلیں۔
فون جڑنے سے انکار کرتا ہے اور No trusted RSA public key found for vpn.example.net چھاپتا ہے، جبکہ وہی گیٹ وے سرٹیفکیٹ اسی نیٹ ورک پر لیپ ٹاپ سے کام کرتا ہے۔ سرٹیفکیٹ دوبارہ جاری کرنا دلکش قدم ہے۔ ایسا کرنے سے پہلے معلوم کریں کہ آپ کو تین ناکامیوں میں سے کون سی ہے، کیونکہ ان میں سے صرف ایک سرٹیفکیٹ کے مندرجات سے متعلق ہے۔ پیغام نامکمل زنجیر، شناخت کی عدم مطابقت اور غیر تعاون یافتہ کلید یا دستخط کا احاطہ کرتا ہے، اور ہر ایک کا الگ علاج ہے۔
ایک پیغام کے پیچھے تین ناکامیاں
اینڈرائیڈ گیٹ وے سرٹیفکیٹ سے VPN پروفائل میں منتخب CA تک زنجیر بناتا ہے، پھر سرور کا نام پروفائل سے موازنہ کرتا ہے۔ اطلاع مرحلہ نہیں، نتیجہ بتاتی ہے۔ اعتماد کی ناکامی کا مطلب ہے کہ تبادلے میں دیے گئے سرٹیفکیٹس سے زنجیر مکمل نہیں ہو سکی؛ شناخت کی ناکامی کا مطلب ہے کہ زنجیر تصدیق شدہ تھی مگر نام مطابق نہیں؛ الگورتھم کی ناکامی کا مطلب ہے کہ آلہ یا پروفائل کلید کی قسم یا دستخط قبول نہیں کرتا۔
| What you see | What it points to | First move |
|---|---|---|
| Chain stops after the leaf in the daemon log | intermediate not loaded or not sent | load the intermediate as CA material |
| Chain validates, name differs from the profile | identity mismatch | fix the profile name or the certificate SAN |
| Chain validates, handshake still fails | key or signature not accepted | compare key type against the device |
مرمت کے طریقے ترتیب سے آزمانے کے بجائے ثبوت سے فیصلہ کریں۔ ڈیمون کے خلاف لاگ سطح 2 پر ایک کوشش بتاتی ہے کہ آپ کس قطار میں ہیں، اور یہ ایسے سرٹیفکیٹ کو دوبارہ جاری کرنے سے کم خرچ ہے جو کبھی غلط نہیں تھا۔
پہلے فیصلہ کریں: کیا پوری زنجیر آئی؟
strongSwan اس کنکشن کے لیے ترتیب دیا گیا سرٹیفکیٹ بھیجتا ہے، اور درمیانی سرٹیفکیٹ الگ اسناد ہیں۔ ڈیمون انہیں پے لوڈ میں رکھنے سے پہلے CA سرٹیفکیٹ کے طور پر لوڈ کرنا ضروری ہے، اس لیے وہ ترتیب جس میں سرور سرٹیفکیٹ درمیانی سے دستخط شدہ ہے، جڑ اعتماد کی لنگر ہے، اور درمیانی صرف CA کی بلڈ ڈائریکٹری میں ہے، بالکل یہی ناکامی پیدا کرتی ہے: تار پر صرف پتہ، فون پر زنجیر جلدی ختم ہوتی ہے۔
swanctl تنصیب میں swanctl --list-certs یا پرانے starter کے ساتھ ipsec listcerts استعمال کر کے دیکھیں کہ ڈیمون کے پاس کیا ہے۔ درمیانی اس کے اوپر جڑ کے ساتھ CA سرٹیفکیٹ کے طور پر ظاہر ہونا چاہیے۔ اگر غائب ہو تو کوئی کلائنٹ آپشن مدد نہیں کرے گا؛ اگر موجود ہو تو اگلے سوال پر جائیں۔
پھر دیکھیں کہ کیا یہ بھیجا جائے گا۔ swanctl.conf حوالہ send_cert کی دستاویز کرتا ہے، جس کا طے شدہ ifasked صرف اس وقت سرٹیفکیٹ بھیجتا ہے جب ساتھی نے مانگا ہو؛ always ہرحال بھیجتا ہے۔ پرانا متبادل ipsec.conf میں leftsendcert=always ہے۔ یہ ترتیب بھیجنے کو کنٹرول کرتی ہے، دستیابی کو نہیں، اس لیے اس درمیانی کی تلافی نہیں کر سکتی جسے ڈیمون نے کبھی لوڈ نہیں کیا۔
اگر زنجیر چھوٹی ہے تو درمیانی وہاں لوڈ کریں جہاں ڈیمون تلاش کرتا ہے
درمیانی کو پتے کے پاس نہیں، CA ڈائریکٹری میں رکھیں: ipsec.conf ترتیب کے لیے /etc/ipsec.d/cacerts، swanctl کے لیے /etc/swanctl/x509ca، یا وہ راستہ جو آپ کا پیکج بدلتا ہے۔ ترتیب دوبارہ لوڈ کریں اور سرٹیفکیٹ دوبارہ فہرست کریں۔ کچھ ورژن پتے کی فائل میں زنجیر رکھنے والا بنڈل بھی بھیجتے ہیں، مگر CA ڈائریکٹری ورژن اور پیکجوں میں منتقلی کے قابل انتظام ہے۔
کلائنٹ کی طرف سے بھی تصدیق کریں۔ فون صرف وہی دیکھتا ہے جو تبادلہ لے کر آیا، اس لیے لاگ سطح 2 پر ڈیمون لاگ بھیجے گئے سرٹیفکیٹس میں درمیانی دکھانا چاہیے۔ اگر لاگ دکھائے اور فون پھر بھی ناکام ہو، تو آپ جدول کی دوسری قطار میں ہیں، اور CA فائلیں ایڈجسٹ کرتے رہنے سے نتیجہ نہیں بدلے گا۔
اگر زنجیر مکمل ہے تو سرٹیفکیٹ میں ترمیم بند کریں
شناخت کی ناکامی VPN پروفائل کے نام اور سرٹیفکیٹ کے نام کے درمیان عدم مطابقت ہے۔ اینڈرائیڈ آپ کے ترتیب کردہ سرور کی شناخت کا اس سرٹیفکیٹ سے موازنہ کرتا ہے جس کی اس نے تصدیق کی، اس لیے وہ پروفائل جو پتے کی طرف اشارہ کرے جبکہ سرٹیفکیٹ ہوسٹ نام بتائے، یا وہ پروفائل جو ایسا ہوسٹ نام بتائے جو سرٹیفکیٹ میں شامل نہ ہو، کامیاب زنجیر تصدیق کے بعد ناکام ہوتا ہے۔ غلط طرف درست کریں، اور جب کوئی ایک بدلے تو پروفائل اور سرٹیفکیٹ ہم آہنگ رکھیں۔
الگورتھم کی ناکامی درست زنجیر اور مطابق نام کے ساتھ ظاہر ہوتی ہے۔ اینڈرائیڈ ورژن اس میں مختلف ہیں کہ کون سی کلید اقسام اور دستخط اسکیمیں قبول کرتے ہیں، اور پروفائل کی قسم خود اختیارات کو محدود کرتی ہے۔ اگر گیٹ وے پرانا یا غیر معمولی امتزاج استعمال کرے تو سرٹیفکیٹ خراب ماننے سے پہلے آلے کی معاونت سے موازنہ کریں۔ ڈیمون لاگ دکھائے گا کہ ہینڈ شیک اعتماد کے معاملے سے آگے بڑھ رہا ہے، اور یہی اشارہ ہے کہ زنجیر اب مسئلہ نہیں۔
درمیانی کو فون پر صارف جڑ کے طور پر نصب نہ کریں
غائب درمیانی کو فون پر صارف سرٹیفکیٹ کے طور پر نصب کرنا انتباہ ختم کر دیتا ہے اور صارف کے نصب کردہ جڑوں کو قبول کرنے والی ہر ایپ کے لیے فون کا اعتماد ماڈل بدل دیتا ہے۔ یہ اگلے کلائنٹ کو متاثر کرنے والی ترسیل کی خرابی بھی چھپاتا ہے، اور گیٹ وے کو ہر آئندہ آلے کو نامکمل زنجیر بھیجتے رہنے دیتا ہے۔ پائیدار علاج سرور پر ہے، ایک بار، تمام کلائنٹس کے لیے۔
تبدیلی ریکارڈ میں تین فیصلے الگ رکھیں: کون سے سرٹیفکیٹ بھیجے گئے، کون سی شناخت موازنہ ہوئی، اور کون سا الگورتھم طے ہوا۔ وہ گیٹ وے جو ہمیشہ اپنی پوری زنجیر بھیجتا ہے، وہ پروفائل جو سرٹیفکیٹ کا درست نام بتاتا ہے، اور وہ کلید کی قسم جس کی بیڑا معاونت کرتا ہے — یہ تین چھوٹی حقیقتیں ہیں، اور یہ پوری ناکامی بس اتنی ہی ہے۔