home *** CD-ROM | disk | FTP | other *** search
/ Columbia Kermit / kermit.zip / newsgroups / misc.20021006-20030409 / 000285_jaltman@columbia.edu_Tue Feb 11 15:59:19 EST 2003.msg < prev    next >
Text File  |  2020-01-01  |  4KB  |  108 lines
  1. Article: 14082 of comp.protocols.kermit.misc
  2. Path: newsmaster.cc.columbia.edu!phl-feed.news.verio.net!iad-feed.news.verio.net!iad-peer.news.verio.net!news.verio.net!news.maxwell.syr.edu!newsfeed-east.nntpserver.com!nntpserver.com!news-west.rr.com!news-server.columbus.rr.com!cyclone.rdc-nyc.rr.com!news-out.nyc.rr.com!twister.nyc.rr.com.POSTED!not-for-mail
  3. Message-ID: <3E493E29.5040800@columbia.edu>
  4. From: Jeffrey Altman <jaltman@columbia.edu>
  5. User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.2.1) Gecko/20021130
  6. X-Accept-Language: en-us, en
  7. MIME-Version: 1.0
  8. Newsgroups: comp.protocols.kermit.misc
  9. Subject: Re: SSL-Telnet waiting for WILL AUTHENTICATION subnegotiation
  10. References: <f53f8c5c.0302101307.43a79f75@posting.google.com> <3E482A46.2010509@nyc.rr.com> <f53f8c5c.0302110921.bbf187d@posting.google.com>
  11. In-Reply-To: <f53f8c5c.0302110921.bbf187d@posting.google.com>
  12. Content-Type: text/plain; charset=us-ascii; format=flowed
  13. Content-Transfer-Encoding: 7bit
  14. Lines: 85
  15. Date: Tue, 11 Feb 2003 18:15:44 GMT
  16. NNTP-Posting-Host: 66.108.138.151
  17. X-Complaints-To: abuse@rr.com
  18. X-Trace: twister.nyc.rr.com 1044987344 66.108.138.151 (Tue, 11 Feb 2003 13:15:44 EST)
  19. NNTP-Posting-Date: Tue, 11 Feb 2003 13:15:44 EST
  20. Organization: Road Runner - NYC
  21. Xref: newsmaster.cc.columbia.edu comp.protocols.kermit.misc:14082
  22.  
  23. Curtis Steward wrote:
  24. > Jeff,
  25. > 
  26. > I didn't realize that "AUTH SSL" shouldn't be used.  Thanks
  27. > for the tip, that's why I also had "start-tls refused", trying
  28. > to force SSL...
  29. > 
  30. >   I've changed from SSL to TLS.
  31. >   Added the "start-tls required".
  32. >   I've also had to resort to "--database:off" on the server, see
  33. > syslog.
  34. >   However, things still hang:
  35. > 
  36. > Negotiations..TELNET RCVD DO START-TLS
  37. > TELNET SENT SB START-TLS FOLLOWS IAC SE
  38. > TELNET RCVD DO AUTHENTICATION
  39. > TELNET RCVD DO NAWS
  40. > TELNET RCVD WILL SUPPRESS-GO-AHEAD
  41. > TELNET RCVD DO SUPPRESS-GO-AHEAD
  42. > TELNET RCVD WILL ECHO
  43. > TELNET RCVD DO NEW-ENVIRONMENT
  44. > TELNET RCVD SB START-TLS FOLLOWS  IAC SE
  45. > [TLS - handshake starting]
  46. > Loading RSA certificate into SSL
  47. > Enter pass phrase: <passphrase>
  48. > SSL_handshake:UNKWN  before/connect initialization
  49. > SSL_connect:UNKWN  before/connect initialization
  50. > SSL_connect:3WCH_A SSLv3 write client hello A
  51. > HANG...
  52. > 
  53. > syslog
  54. > Feb 10 16:37:58 cms iksd[825]: file[] /var/log/95dfd2cb.339: rename to
  55. > /var/log/iksd.lck failed (No such file or directory)
  56.  
  57. How is iksd being started?
  58.  
  59. > 
  60. > script
  61. > #!/usr/local/bin/kermit +
  62. > set debug on
  63. > set debug session
  64. > set auth tls debug on
  65. > set auth tls rsa-cert-file w.pem                   ;personal cert pem
  66. > set auth tls rsa-key-file work_priv.pem            ;personal key pem
  67. > set auth tls verbose on
  68. > set auth tls verify-dir /usr/local/ca              ;CA directory
  69. > set auth tls verify-file /usr/local/ca/cacert.pem  ;CA cert pem w/hash
  70. > set login userid <userid>
  71. > set telopt start-tls required
  72.  
  73. The file /usr/local/ca/cacert.pem must contain the CA certificate used 
  74. to sign the IKSD host certificate
  75.  
  76.  
  77. > iksd.conf
  78. > set auth tls rsa-cert-file /root/HomeWIP/pki/c.pem  #points to host
  79. > cert?
  80. > set auth tls rsa-key-file /root/HomeWIP/pki/cms.jms.lucascargo.com.pem
  81. >  #points to host key?
  82.  
  83. These are the server's certificate and key in PEM format.
  84.  
  85. > set auth tls verify-dir /usr/local/ca
  86. > set auth tls verify-file /usr/local/ca/cacert.pem
  87.  
  88. These are only necessary if you are attempting to verify client 
  89. certificates.
  90.  
  91. > Is the host settings for the iksd.conf's rsa's suppose to be the host
  92. > client?  And is the CA key the only key that needs hashed?  
  93.  
  94. > Thanks
  95. > 
  96. > cs
  97.  
  98. To debug IKSD include a
  99.  
  100.    LOG DEBUG /root/iksd.debug.\v(pid).log
  101.  
  102. command in your iksd.conf file.  If you are not getting a response to 
  103. the "client hello A" it is most likely a problem related to firewall's 
  104. blocking the negotiation OR perhaps a file system access problem on the 
  105. host.
  106.  
  107.  
  108.