strongSwan: kalit turi, yuklovchi va noto'g'ri backend

PEM — bu konteyner, kalit turi emas. Sertifikatning ochiq kalitini yopiq kalit bilan solishtiring, so'ng uni haqiqatan o'qiydigan backend orqali yuklang.

Fayl kengaytmalari kalit algoritmlarini aniqlamaydi va .pem qobig'ida RSA yoki ECDSA materiali bo'lishi mumkin. PEM baytlarning qanday o'ralishini tavsiflaydi, RSA va ECDSA esa turli algoritmlarni nomlaydi, PKCS12 fayli esa yana uchinchi narsa. strongSwan hisob ma'lumotlarini plaginlar va konfiguratsiya backend orqali yuklaydi, shuning uchun sertifikat ro'yxatda ko'rinishi mumkin, lekin yopiq kalit hech qachon foydalanishga yaroqli bo'lmaydi. Har qanday sirni tahrirlashdan oldin bu qatlamlarni ajrating.

Kodlash, algoritm va qadoqlash uch qatlamdir

Kalit faylida kodlash, algoritm va ko'pincha konteyner bo'ladi. PEM — tanish base64 qobig'i; DER — uning ikkilik ekvivalenti; PKCS12 sertifikatni kaliti va zanjiri bilan birlashtiradi. Sertifikatlar zanjiri fayli yana bir konteyner bo'lib, odatda unda hech qanday yopiq kalit bo'lmaydi. Bu belgilarning hech biri ichidagi material RSA yoki ECDSA ekanini aytmaydi.

Algoritmni obyektning o'zidan o'qing. Provayderning marketing nomi yoki fayl kengaytmasi dalil emas, chunki bir xil emitent turli kalit turlarini berishi mumkin.

Yuklovchini ayblashdan oldin ochiq kalitlarni solishtiring

Yuklangan sertifikat sertifikat tahlil qilinganini isbotlaydi, yopiq kaliti mavjud yoki yaroqli ekanini emas. Ochiq kalitni sertifikatdan va taklif qilingan yopiq kalitdan chiqaring, so'ng ikkita daydjstni solishtiring. Agar biron chiqarish muvaffaqiyatsiz bo'lsa, o'sha yerda to'xtang, chunki bo'sh natija daydjsti hech narsani isbotlamaydi. Mos daydjstlar juftlik bir-biriga tegishli ekanini isbotlaydi, va sertifikat ishga yaroqliligi haqida boshqa hech narsani emas.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Ikkinchi buyruq mashinangizdagi yopiq materialga tegadi, lekin faqat ochiq yarmini chiqaradi. Shunday qoldiring va hech qachon yopiq kalitni chiptaga yopishtirmang. Agar kalit shifrlangan bo'lsa, qo'llab-quvvatlanadigan asbob parolni so'rashiga ruxsat bering, uni jarayonlar ro'yxati fosh qilishi mumkin bo'lgan buyruq qatoriga qo'yish o'rniga.

Eski ipsec.secrets yoki swanctl hisob ma'lumotlari

strongSwan'da keng qo'llaniladigan ikkita hisob ma'lumot yo'li bor. Eski starter steki turga xos yozuvlarni quyidagidan o'qiydi: ipsec.secrets, va har bir yozuv material uchun to'g'ri turni ko'rsatishi kerak. swanctl va vici steki kalitlarni o'z hisob ma'lumot katalogidan o'z konfiguratsiyasi orqali yuklaydi. Ishlab turgan backend o'qimaydigan faylni tahrirlash hech narsani o'zgartirmaydi.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Qaysi backend haqiqatan ishlayotganini aniqlang, so'ng kalitni o'sha backend qaraydigan joyga qo'ying. strongSwan 5.9 eski qo'llanmasi turga xos sir yozuvlarini belgilaydi va bu swanctl hujjati emas. Ikkalasini aralashtirish administrator ishonchli deb hisoblaydigan faylni e'tiborsiz qoldiradigan daemon yaratadi. Xato haqida xabar bermaydigan qayta yuklash faqat konfiguratsiya tahlil qilinganini bildiradi.

Yuklash hodisasi va autentifikatsiya natijasini o'qing

Boshqariladigan qayta yuklashdan so'ng, muayyan kalit uchun daemonning o'z yuklash chiqishini o'qing. Holat dampida ko'rsatilgan sertifikat yopiq kalit u bilan moslashtirilganini ko'rsatmaydi.

Agar mijoz hali ham muvaffaqiyatsiz bo'lsa, server hodisasi va mijoz xatosini alohida tuting. Zanjir tekshiruvi, identifikatsiya mosligi va usullar mosligi o'z dalillariga ega keyingi savollardir. Natijani aniq kalit yo'li va siz solishtirgan daydjst bilan yozib qo'ying, aks holda keyingi smena o'sha qayta yuklashni takrorlaydi. CA ni almashtirish yuklovchi nomuvofiqligiga birinchi javob emas.

O'xshash maqolalar