.TH "PKI \-\-ESTCA" 1 "2022-08-22" "6.1.0" "strongSwan"
.
.SH "نام (NAME)"
.
pki \-\-estca \- دریافت گواهی(های) CA از یک سرور EST
.
.SH "خلاصه دستور (SYNOPSIS)"
.
.SY pki\ \-\-estca
.BI \-\-url\~ url
.OP \-\-label label
.BI \-\-cacert\~ file
.OP \-\-caout file
.OP \-\-outform encoding
.OP \-\-force
.OP \-\-debug level
.YS
.
.SY pki\ \-\-estca
.BI \-\-options\~ file
.YS
.
.SY "pki \-\-estca"
.B \-h
|
.B \-\-help
.YS
.
.SH "توضیحات (DESCRIPTION)"
.
این زیردستور از
.BR pki (1)
گواهی‌های CA را از طریق https از یک سرور EST با استفاده از عملیات \fI/cacerts\fR پروتکل Enrollment over Secure Transport (RFC 7030) دریافت می‌کند.
.
.SH "گزینه‌ها (OPTIONS)"
.
.TP
.B "\-h, \-\-help"
چاپ اطلاعات نحوه استفاده به همراه خلاصه‌ای از گزینه‌های موجود.
.TP
.BI "\-v, \-\-debug " level
تنظیم سطح دیباگ، پیش‌فرض: 1.
.TP
.BI "\-+, \-\-options " file
خواندن گزینه‌های خط فرمان از \fIfile\fR.
.TP
.BI "\-u, \-\-url " url
نشانی URL سرور SCEP.
.TP
.BI "\-l, \-\-label " label
برچسب (label) در مسیر سرور EST.
.TP
.BI "\-C, \-\-cacert " file
گواهی CA در زنجیره اعتماد که برای تأیید امضای سرور TLS پروتکل EST استفاده می‌شود.
می‌توان چندین بار از این گزینه استفاده کرد.
.TP
.BI "\-c, \-\-caout " file
در صورت وجود، مسیری که فایل گواهی ریشه CA واکشی‌شده در آن ذخیره می‌شود.
اگر چندین گواهی CA بارگیری شوند، مقدار
.B \-\-caout
به عنوان یک الگو برای ایجاد نام‌های فایل یکتا (*-1، *-2 و غیره) برای گواهی‌های میانی یا فرعی CA استفاده می‌شود.
اگر پسوند فایل وجود نداشته باشد، بسته به مقدار
.B \-\-outform
یکی از پسوندهای .\fIder\fR (پیش‌فرض) یا .\fIpem\fR به صورت خودکار اضافه می‌شود.
اگر گزینه
.B \-\-caout
مشخص نشده باشد و
.B \-\-outform
بر روی \fIpem\fR تنظیم شده باشد، بسته‌ای از گواهی‌های CA با کدبندی PEM در
\fIstdout\fR نوشته می‌شود.
.TP
.BI "\-f, \-\-outform " encoding
کدبندی فایل گواهی ایجادشده. می‌تواند \fIder\fR (ASN.1 DER) یا \fIpem\fR (Base64 PEM) باشد، پیش‌فرض \fIder\fR است.
.TP
.B "\-F, \-\-force"
اجبار به رونویسی فایل‌های موجود.
.
.SH "مثال‌ها (EXAMPLES)"
.
برای صرفه‌جویی در تایپ، گزینه‌های خط فرمان زیر در یک فایل
\fIest.opt\fR ذخیره شده‌اند:
.PP
.EX
\-\-url https://pki.strongswan.org:8443
\-\-cacert tlsca.crt
\-\-cacert tlsca-1.crt
.EE
.PP
.B نکته:
برای یک اتصال موفق HTTPS، باید به گواهی سرور EST اعتماد برقرار شود. زنجیره اعتماد TLS شامل گواهی ریشه CA و در صورت تمایل گواهی‌های میانی CA باید با استفاده از چندین گزینه
.B \-\-cacert
مشخص شوند.
.P
یک سرور EST یک گواهی ریشه CA و یک گواهی میانی CA ارسال می‌کند:
.PP
.EX
pki \-\-estca \-\-options est.opt \-\-caout myca.crt

negotiated TLS 1.3 using suite TLS_AES_256_GCM_SHA384
received TLS server certificate 'C=CH, O=strongSwan Project, CN=pki.strongswan.org'
  using certificate "C=CH, O=strongSwan Project, CN=pki.strongswan.org"
  using trusted intermediate ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 1
Root CA cert "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  serial: 65:31:00:ca:79:da:16:6b:aa:ac:89:e2:a8:f9:49:c3:10:ab:64:54
  SHA256: 96:70:50:51:cd:b9:e7:94:6b:04:f6:15:45:80:fc:90:85:01:71:2a:f6:4f:d1:1b:2d:a1:7e:eb:bf:dd:be:86
  SHA1  : 8e:f3:78:b0:34:a6:c1:6a:7b:c6:f5:91:eb:e5:46:9b:0d:0a:a7:ba (jvN4sDSmwWp7xvWR6+VGmw0Kp7o)
Root CA equals trusted TLS Root CA
Root CA cert is trusted, valid until Aug 12 15:51:34 2032, 'myca.crt'
Sub CA cert "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  serial: 74:f9:7e:72:7d:b8:fd:f2:c6:e5:1b:fa:37:f9:cb:87:bf:9c:ea:e2
  SHA256: a3:5b:4b:12:d5:8f:68:7b:05:11:08:27:f5:42:62:b8:b5:01:1b:19:37:9c:28:78:5d:37:08:69:6a:8c:07:bf
  SHA1  : 8c:e6:67:67:c2:23:89:7b:d0:bc:b1:50:d2:1c:bc:8d:8d:69:15:11 (jOZnZ8IjiXvQvLFQ0hy8jY1pFRE)
  using certificate "C=CH, O=strongSwan Project, CN=strongSwan Issuing CA"
  using trusted ca certificate "C=CH, O=strongSwan Project, CN=strongSwan Root CA"
  reached self-signed root ca with a path length of 0
Sub CA cert is trusted, valid until Aug 12 15:51:34 2027, 'myca-1.crt'
.EE
.PP
.B نکته:
اگر گواهی Root CA زنجیره اعتماد TLS با گواهی Issuing CA یکسان باشد، مورد اعتماد بودن گواهی ریشه CA به صورت خودکار تأیید می‌شود. در غیر این صورت، اعتماد باید به صورت دستی و با تأیید اثر انگشت SHA256 یا SHA1 گواهی کدبندی‌شده با DER که مثلاً در وب‌گاه رسمی PKI یا روش‌های دیگر فهرست شده است، احراز گردد.
.P
فایل‌های گواهی ذخیره‌شده در قالب DER را می‌توان با نسخه‌های کدبندی‌شده با PEM با دستور زیر بازنویسی کرد:
.PP
.EX
pki \-\-estca \-\-options est.opt \-\-caout myca.crt \-\-outform pem \-\-force
.EE
.PP
یک بسته گواهی CA در قالب PEM در \fIstdout\fR نوشته می‌شود:
.PP
.EX
pki \-\-estca \-\-options est.opt \-\-outform pem > cacerts.pem
.EE
.PP
.
.SH "همچنین ببینید (SEE ALSO)"
.
.BR pki (1)