strongSwan: irú kọkọrọ, ẹlẹ́rù àti backend tí kò tọ́

Àfikún fáìlì kò dámọ̀ àwọn algọ́rídìmù kọkọrọ, àti pé àpò .pem lè ní ohun èlò RSA tàbí ECDSA. PEM ṣàlàyé bí wọ́n ṣe ń wé àwọn byte, nígbà tí RSA àti ECDSA ń pe àwọn algọ́rídìmù ọ̀tọ̀ọ̀tọ̀, àti fáìlì PKCS12 jẹ́ ohun kẹta. strongSwan ń gbé àwọn ẹ̀rí wọlé nípasẹ̀ àwọn plugin àti backend ìṣètò, nítorí náà ìwé-ẹ̀rí lè hàn nínú àkójọ nígbà tí kọkọrọ àràmàǹdá kò ní di ohun tí a lè lò rárá. Ya àwọn ìpele yẹn kúrò kí o tó ṣàtúnṣe àṣírí kankan.

Ìkódì, algọ́rídìmù àti àkójọpọ̀ jẹ́ ìpele mẹ́ta

Fáìlì kọkọrọ ní ìkódì, algọ́rídìmù àti àpótí ní ọ̀pọ̀ ìgbà. PEM ni àpò base64 tí a mọ̀; DER ni ẹ̀dà bínárì rẹ̀; PKCS12 ń so ìwé-ẹ̀rí pọ̀ mọ́ kọkọrọ rẹ̀ àti ẹ̀wọ̀n rẹ̀. Fáìlì ẹ̀wọ̀n ìwé-ẹ̀rí jẹ́ àpótí mìíràn, ó sì máa ń jẹ́ pé kò ní kọkọrọ àràmàǹdá kankan. Kò sí ọ̀kan nínú àwọn àmì yẹn tí ó sọ bóyá ohun tí ó wà nínú jẹ́ RSA tàbí ECDSA.

Ka algọ́rídìmù láti inú ohun náà fúnra rẹ̀. Orúkọ tí olùpèsè ń lò fún ọjà tàbí àfikún fáìlì kì í ṣe ẹ̀rí, nítorí pé olùgbéjáde kan náà lè fúnni ní àwọn irú kọkọrọ ọ̀tọ̀ọ̀tọ̀.

Fi àwọn kọkọrọ gbangba wé ara wọn kí o tó dá ẹlẹ́rù lẹ́bi

Ìwé-ẹ̀rí tí ó gbé wọlé ń fi hàn pé a ti ṣàyẹ̀wò ìwé-ẹ̀rí, kì í ṣe pé kọkọrọ àràmàǹdá rẹ̀ wà tàbí ó lè ṣiṣẹ́. Yọ kọkọrọ gbangba jáde láti inú ìwé-ẹ̀rí àti láti inú kọkọrọ àràmàǹdá tí a dábàá, lẹ́yìn náà fi àwọn digest méjèèjì wé ara wọn. Bí ìyọkúrò kankan bá kùnà, dúró níbẹ̀, nítorí pé digest ìjáde tí ó ṣófo kò fi ohunkóhun hàn. Àwọn digest tí ó bá ara wọn mu ń fi hàn pé tọkọtaya náà jẹ́ ti ara wọn, kì í sì í ṣe ohunkóhun mìíràn nípa bóyá ìwé-ẹ̀rí yẹn bá iṣẹ́ náà mu.

openssl x509 -in server.crt -pubkey -noout |
    openssl pkey -pubin -outform DER |
    openssl dgst -sha256

openssl pkey -in server-key.pem -pubout -outform DER |
    openssl dgst -sha256

Àṣẹ kejì ń fọwọ́ kan ohun àràmàǹdá lórí ẹ̀rọ rẹ ṣùgbọ́n ó ń jáde ní ìlàlẹ̀ gbangba nìkan. Jẹ́ kí ó rí bẹ́ẹ̀, má sì ṣe lẹ̀ kọkọrọ àràmàǹdá mọ́ tikẹ́ẹ̀tì láé. Bí kọkọrọ náà bá jẹ́ àdìpọ̀, jẹ́ kí irinṣẹ́ tí a ń gbè jáde béèrè fún gbólóhùn ìkọ̀kọ̀ dípò kí o fi í sórí ìlà àṣẹ níbi tí àkójọ ìlànà lè fi í hàn.

ipsec.secrets àtijọ́ tàbí ẹ̀rí swanctl

strongSwan ní ọ̀nà ẹ̀rí méjì tí a sábà lò. Àkójọ starter àtijọ́ ń ka àwọn àkọsílẹ̀ tí ó yàtọ̀ fún irú kan láti ipsec.secrets, àti pé àkọsílẹ̀ kọ̀ọ̀kan gbọ́dọ̀ dárúkọ irú tí ó tọ́ fún ohun èlò náà. Àkójọ swanctl àti vici ń gbé àwọn kọkọrọ wọlé láti inú àpò ẹ̀rí tirẹ̀ nípasẹ̀ ìṣètò tirẹ̀. Ṣíṣàtúnṣe fáìlì tí backend tí ń ṣiṣẹ́ kò kà kò yí ohunkóhun padà.

: ECDSA "/etc/ipsec.d/private/server-key.pem"

Wá ojú tí backend tí ń ṣiṣẹ́ gan-an wà, lẹ́yìn náà gbé kọkọrọ sí ibi tí backend yẹn ń wò. ìwé-ìtọ́nà strongSwan 5.9 àtijọ́ ń ṣàlàyé àwọn àkọsílẹ̀ àṣírí tí ó yàtọ̀ fún irú kan, kì í sì í ṣe ìwé ẹ̀kọ́ swanctl. Pípọ̀ wọ́n papọ̀ ń dá daemon tí ó ń pa fáìlì tí alábòójútó gbà pé ó ní àṣẹ lórí. Ìgbéwọlé mìíràn tí kò fi àṣìṣe hàn kò túmọ̀ sí ohunkóhun ju pé a ti ṣàyẹ̀wò ìṣètò náà.

Ka ìṣẹ̀lẹ̀ ìgbéwọlé àti àbájáde ìjẹ́rìí

Lẹ́yìn ìgbéwọlé títún tí a ṣàkóso, ka ìjáde ìgbéwọlé ti daemon fúnra rẹ̀ fún kọkọrọ pàtó. Ìwé-ẹ̀rí tí a kọ sínú ìdàpọ̀ ipò kò fi hàn pé a ti fi kọkọrọ àràmàǹdá ṣe ìbámu pẹ̀lú rẹ̀.

Bí alábàáṣepọ̀ bá ṣì ń kùnà, ya ìṣẹ̀lẹ̀ olùpèsè àti àṣìṣe alábàáṣepọ̀ kúrò. Ìmúdájú ẹ̀wọ̀n, ìbámu ìdánimọ̀ àti ìbámu àwọn ọ̀nà jẹ́ àwọn ìbéèrè tí ó tẹ̀lé tí wọ́n ní ẹ̀rí tirẹ̀. Kọ àbájáde sílẹ̀ pẹ̀lú ọ̀nà kọkọrọ gangan àti digest tí o fi wé, nítorí pé bí bẹ́ẹ̀ kọ́ ìṣẹ̀lẹ̀ tí ń bọ̀ yóò tún ìgbéwọlé kan náà ṣe. Yíyí CA padà kì í ṣe ìdáhùn àkọ́kọ́ sí àìbámu ẹlẹ́rù.