+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Ошибка IPSec в ROS 7.9

Ошибка IPSec в ROS 7.9, RouterOS

ns88ns

Guest

09.05.2023 02:56:00

Привет, сообщество и команда Mikrotik. В версии 7.9 есть баг, связанный с сертификатами. Скорее всего, из-за «*) ipsec - переработка реализации X.509;». В моей конфигурации ROS 7.8 подключён к ROS 6.49.6 по IKE2: аутентификация — цифровая подпись. Мой Type ID: авто, удалённый Type ID: авто, сопоставление по remote id (одинаковая настройка с обеих сторон). Всё работало отлично до обновления 7.8 на 7.9. После обновления: ROS 6.49.6 заваливается сообщениями: got fatal error: AUTHENTICATION_FAILED ROS 7.9 — сообщения: can’t verify peer’s certificate from store. Немедленно перепроверил сертификаты — на обеих сторонах они валидные. Как исправить? С уважением. Обновление: перепроверил все варианты моих ID/remote ID на обеих сторонах — ничего не помогает. Опять перепроверил сертификаты — все корректны и валидны, включая CA (та же CA использовалась для выпуска сертификатов конечных узлов). По факту, похоже на баг в ROS 7.9 — в версии 7.8 всё работало отлично. Кстати, есть ли возможность откатиться на предыдущую версию?

TOD

Guest

22.06.2023 09:45:00

Импорт сертификатов не был (и не является) проблемой, а вот то, как RouterOS проверяет цепочку сертификатов, — вот в чем дело. Раньше проверка работала правильно: если в системном хранилище был корневой сертификат, а сервер, с которым устанавливалось соединение, присылал промежуточный сертификат, цепочка сертификатов валидировалась корректно. После версии 7.9 эта логика сломалась, и теперь требуется импортировать в системное хранилище не только корневые, но и ВСЕ промежуточные сертификаты. PKI так работать не должен.

oskarsk Guest	#3 0 22.06.2023 10:33:00 Пожалуйста, свяжитесь с нами через портал поддержки, у нас есть решение для этой проблемы. Спасибо.

TOD Guest	#4 0 28.05.2023 22:57:00 Успешно протестировано на версии 7.9.1 с двумя установленными сертификатами (IKE_Root_CA + IKE_Intermediate_CA_1) на ProtonVPN. По крайней мере, как временное решение.

sairus Guest	#5 0 29.05.2023 09:26:00 7.10RC1 Всё ещё проблемы с ProtonVPN IPSec…

amblin Guest	#6 0 18.06.2023 13:32:00 Это работает, отличное извлечение, спасибо.

ns88ns Guest	#7 0 20.06.2023 23:38:00 Релиз ROS 7.10 также продолжает страдать от этой проблемы.

oskarsk Guest	#8 0 21.06.2023 08:18:00 Проблем при импорте сертификатов Proton не обнаружено.

rebrov Guest	#9 0 24.05.2023 06:22:00 Я тоже, у меня до сих пор версия 7.8, потому что на 7.9 не работает.

TOD

Guest

#10

28.05.2023 00:59:00

Просто интересно: этот ответ был через тикет поддержки или в публичном обсуждении (Reddit и др.)? Я вытащил промежуточный сертификат CA из фазы IPsec ISAKMP (с отладки IPsec на RouterOS + Wireshark).

Вот сертификат в DER и PEM кодировке: ProtonVPN_IKE_Intermediate_CA_1.tar (6 КБ).
Сейчас у меня нет времени на тесты, так что, может, кто-то из пользователей успеет попробовать раньше, чем я.

P.S. Нужно помнить, что если это сработает, то это всего лишь временное решение, потому что:
- Промежуточный сертификат ProtonVPN могут в любой момент заменить.
- Необходимо решить проблему проверки цепочки сертификатов.
- Клиент НЕ ДОЛЖЕН иметь всю цепочку сертификатов на своей стороне для правильной сборки цепочки.
- Клиенту нужен только корневой сертификат для проверки всей цепочки, при условии, что сервер предоставляет все промежуточные сертификаты.

ns88ns Guest	#11 0 21.06.2023 18:01:00 Не могу сказать насчёт сертификатов Proton. Я имею в виду исходную проблему, о которой идёт речь в этой теме.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры