strongSwan send_cert: ìgbà tí a fi ń fi ẹ̀rí IKE ránṣẹ́

Àwọn ẹnubodè ń kọ àwọn ìkùnà ìjẹ́rìísí tó ní í ṣe pẹ̀lú ẹ̀rí sínú àkọsílẹ̀, ìrònú àkọ́kọ́ sì ni kí a fi CA mìíràn kún olùgbà. Ìyẹn gbà pé ẹ̀rí náà dé tí a sì kọ̀ ọ́. Àǹfààní mìíràn ni pé a kò fi í ránṣẹ́ rí, ètò ìsopọ̀ olùfiránṣẹ́ sì ń pinnu ìyẹn. Ṣàwárí èwo nínú àwọn méjèèjì ló ṣẹlẹ̀ kí o tó yí ìgbẹ́kẹ̀lé padà.

Ohun tí send_cert ń ṣàkóso ní ti gidi

Ìjẹ́rìísí pẹ̀lú ẹ̀rí nílò kí ẹ̀rí ẹ̀dá ìparí ti peer dé ẹ̀gbẹ́ kejì nípasẹ̀ pàṣípààrọ̀ IKE tàbí nípasẹ̀ ìmúrasílẹ̀ àtẹ̀yìnwá. Nínú swanctl, ètò ìsopọ̀ send_cert ń pinnu bóyá ibi ìparí yìí ń kó ẹrù ẹ̀rí rẹ̀ mọ́: kì í ṣe rí, nígbà gbogbo tàbí ifasked. Ìpèsè àkọ́kọ́ ifasked ń fi í ránṣẹ́ gẹ́gẹ́ bí ìdáhùn sí ìbéèrè ẹ̀rí láti ọ̀dọ̀ peer. Bíbéèrè ẹ̀rí jẹ́ ètò ọ̀tọ̀, nítorí bíbéèrè ẹ̀rí ẹ̀gbẹ́ kejì kì í ṣe ohun kan náà pẹ̀lú fífúnni ní tìrẹ.

Àwọn ìgbékalẹ̀ ipsec.conf àtijọ́ ń lo leftsendcert àti rightsendcert, àwọn orúkọ yẹn sì ní í ṣe pẹ̀lú ipa ibílẹ̀ àti ti ọ̀nà jínjìn, kì í ṣe tààrà pẹ̀lú swanctl.

Ka ìgbìyànjú kan kí o tó yí ìsopọ̀ padà

Ṣe àyẹ̀wò láti inú ìgbìyànjú kan tí a ṣàkóso, kì í ṣe láti inú èrò gbogbogbò pé àwọn ẹ̀rí wà nínú ọ̀rọ̀. A lè yẹ̀wò ètò àti àjọṣepọ̀ tó ń ṣiṣẹ́ méjèèjì.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan --since "10 min ago" | grep -iE "cert|CERT"

Àkójọ ìsopọ̀ ń fi iye send_cert tí a ṣètò hàn, àkójọ SA sì ń fi hàn irú àwọn ìsopọ̀ tó gbé jáde ní ti gidi. Àkọsílẹ̀ ń fi àwọn àlàyé ìdúnàádúrà kún un: bóyá a gba ìbéèrè ẹ̀rí àti bóyá ẹrù ẹ̀rí jáde. Ìkùnà ìjẹ́rìísí gbogbogbò kò fi ìṣòro ìfíkún hàn, nítorí náà wá pàṣípààrọ̀ pàtó kí o tó pinnu ohunkóhun. Kọ àmì àkókò ìgbìyànjú náà kí fèrèsé àkọsílẹ̀ lè bo gbogbo ìfọwọ́sowọ́pọ̀.

Ìgbẹ́kẹ̀lé olùgbà jẹ́ ìpinnu ọ̀tọ̀

Ìfíkún àti ìgbẹ́kẹ̀lé jẹ́ ànímọ́ ọ̀tọ̀, àti pípa ọ̀kan dà kì í pa èkejì dà. Olùgbà gbọ́dọ̀ ní ìdúró ìgbẹ́kẹ̀lé tí a wọ̀n, gba ẹ̀wọ̀n tó ṣe é lò, kí ó sì bá ìdánimọ̀ peer tí a retí mu. Ẹ̀rí ẹ̀dá ìparí tó dé láìsí ẹ̀rí àárín rẹ̀ ṣì ń kùnà nínú àyẹ̀wò ẹ̀wọ̀n tó le. Ní òdìkejì, fífi CA sínú kò fipá bá peer láti fi ẹ̀rí rẹ̀ ránṣẹ́ rárá.

openssl x509 -in peer-chain.pem -noout -subject -issuer -dates

Àyẹ̀wò fi hàn irú olùpèsè tó fi ọwọ́ sí ẹ̀rí náà àti ìgbà tó máa parí, ìdúró olùgbà sì gbọ́dọ̀ bá ìyẹn mu. Gbẹ́kẹ̀lé CA olùpèsè tí ìgbékalẹ̀ ní, kì í ṣe gbogbo ẹ̀rí àárín nínú ẹ̀wọ̀n, nítorí gbígbé gbogbo ẹ̀rí àárín ga sí gbòǹgbò ń fẹ̀ ìgbẹ́kẹ̀lé jáde lọ́nà tó ré kọjá peer kan. Jẹ́ kí ìjẹ́rìísí ìdánimọ̀ wà ní ṣíṣiṣẹ́, nítorí ìsopọ̀ tó ń ṣàṣeyọrí kìkì pẹ̀lú ìjẹ́rìísí tí a pa kì í ṣe àtúnṣe. Níbi tí ẹ̀wọ̀n kò ti pé, tún ìmúrasílẹ̀ ṣe dípò ètò olùfiránṣẹ́.

Yí olùfiránṣẹ́ padà kìkì pẹ̀lú ẹ̀rí

Nígbà tí àkọsílẹ̀ fi hàn pé a kò fi ẹ̀rí náà ránṣẹ́ rí tí olùgbà sì béèrè fún un ní ti gidi, fífi send_cert sí always jẹ́ ìyípadà tó ní ìdí fún ìsopọ̀ yẹn. Lo ó nínú ìṣètò swanctl, tún àwọn ìsopọ̀ kó, kí o sì dá ìpàdé tuntun sílẹ̀ dípò lílo SA tó wà. Jẹ́rìí sí pé ẹrù ẹ̀rí náà farahàn báyìí àti pé olùgbà gbà á lórí ìdúró tí a wọ̀n. Bí kò bá ní ohunkóhun yí padà, àṣìṣe náà wà ní ẹ̀gbẹ́ ìgbẹ́kẹ̀lé, ètò olùfiránṣẹ́ kò sì ṣe okùnfà.

Kọ pàṣípààrọ̀ tí a rí, ìdúró àti ìjẹ́rìísí tó tẹ̀lé e sínú àkọsílẹ̀ ìyípadà. Àtúnṣe ẹ̀rí tí a kò lè ṣàpèjúwe pẹ̀lú àwọn ọ̀rọ̀ yẹn jẹ́ ìṣẹ̀lẹ̀ àìròtẹ́lẹ̀.