Windows en strongSwan IKE-voorstelle: vier transformasies op mekaar pas

Twee eweknieë ondersteun albei AES, aanvaar albei SHA-256, en die tonnel kom steeds nie op nie. Die voorstel het gefaal op ’n komponent wat niemand vergelyk het nie, gewoonlik die sleuteluitruilgroep. Hierdie prosedure lees die werklike uitruiling voordat enigiets verander word, pas een omlynde beleid toe en laat ’n terugrol wat die vorige parameters herstel.

Lees eers die fout voordat jy ’n groep verander

’n “Beleidpassingsfout” is ’n opsomming, nie ’n diagnose nie. Dit beteken dat geen onderling aanvaarbare voorstel gevind is nie, en dit sê niks oor watter komponent verwerp is nie. Behandel dit as die begin van die ondersoek eerder as bewyse oor ’n spesifieke groep.

Die bedienerkant dra gewoonlik die antwoord. ’n strongSwan-log op ’n gepaste vlak lys die voorstel wat dit van die kliënt ontvang het en die voorstel wat dit ingestel is om te aanvaar, en die verskil tussen die twee lyste noem die komponent wat gefaal het.

Moenie aanneem die kliënt bied wat ’n ouer forumplasing sê dit bied nie. Die aktiewe profiel en sy geïnstalleerde beleid bepaal die aangebode lys, en ’n Windows-bou wat opgedateer is, kan ’n ander stel bied as dié in die skermkiekie wat jy natrek.

Skryf albei lyste neer. Vier transformasieposisies en een groep is ’n kort lys, en om dit reël vir reël te vergelyk neem minder tyd as enige eksperiment. Vier posisies is maklik om in die oog te hou. ’n Loglêer is nie.

Vergelyk elke transformasie, nie een bekende naam nie

’n IKE-voorstel is ’n stel keuses wat almal moet pas. Enkripsie beskerm die onderhandeling, integriteit of ’n PRF authentiseer dit, en ’n Diffie-Hellman-groep skep vars sleutelmateriaal. ’n Voorstel wat op die eerste twee pas en op die derde verskil, is steeds vir albei eweknieë onaanvaarbaar.

Die twee Windows-velde wat hier verwar word behoort aan verskillende fases. DHGroup geld vir IKE-sleuteluitruil, terwyl PfsGroup geld vir die kindassosiasie wat verkeer beskerm. Om die tweede een te verander kan nie ’n fout in die eerste herstel nie.

Groepname verskil tussen implementasies, wat ’n aparte bron van verwarring is. strongSwan skryf modp2048 en ecp256 terwyl Windows opsommingsname soos Group14 en ECP256 gebruik, so ’n vergelyking moet eers vertaal voordat dit vergelyk. Hou ’n nota met twee kolomme met albei name daarin. Die volgende wanpassing neem dan sekondes om te klassifiseer.

Pas een volledige, omlynde beleid toe

Die ondersteunde instrument vir ’n inheemse IKEv2-profiel is ’n IPsec-beleid per verbinding, gestel as een objek eerder as een veld op ’n slag. Voorskou dit eers, pas dit dan toe, en hou die vorige parameters in die veranderingsrekord.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Die -WhatIf-skakelaar voorskou die plaaslike verandering en pas niks toe nie. Dit is nuttig, en dit is ook ’n algemene lokval, want ’n voorskou bewys net dat die parameters sintakties vir die plaaslike cmdlet aanvaarbaar is. Dit sê niks oor of die poort die resulterende voorstel sal aanvaar nie.

Pas die omvang ook aan terwyl jy daarmee besig is. ’n Verbinding in die stoor vir alle gebruikers het die ooreenstemmende parameter vir alle gebruikers nodig, en om die profiel per gebruiker met dieselfde vertoonnaam te wysig, verander ’n ander objek wat die tonnel nie gebruik nie.

Pas dan die strongSwan-kant aan by dieselfde stel voordat jy toets. ’n Gekoördineerde verandering aan albei kante is die enigste weergawe hiervan wat konvergeer; om een kant te verander en herhaaldelik weer te probeer lewer ’n log vol dieselfde verwerping.

Verifieer die uitruiling en die hersluteling afsonderlik

’n Suksesvolle verbinding is een waarneming, en die hersluteling is ’n ander. Aanvanklike IKE-onderhandeling gebruik een stel parameters, en die kindassosiasie wat verkeer dra, kan later met sy eie beleid heronderhandel word. ’n Opstelling wat verbind en dan ná ’n ruk val, is gewoonlik die tweede geval.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Die eerste opdrag wys die bediener se siening van die gevestigde assosiasies, insluitend die kind-SA en sy oorblywende leeftyd. Die tweede wys wat die kliëntprofiel nou bevat, wat die enigste manier is om te bevestig dat die beleid wat jy gestel het die beleid is wat geld.

Kyk na ’n volledige hersluteling voordat jy sukses verklaar. Dit beteken om die verbinding lank genoeg aan te hou sodat die kindassosiasie vervang word, en dan te bevestig dat verkeer voortduur. Die meeste beleidswanpassings skuil in daardie stap, want die aanvanklike onderhandeling kan slaag met ’n stel wat die hersluteling nie aanvaar nie.

Terugrol is die vorige parameterstel, nie ’n toegeeflike terugval nie. As die kliënt slegs ’n swak legacy-groep gebied het, is die antwoord om die gemeenskaplike beleid van kliënt en bediener te verbeter, nie om daardie groep by die poort te voeg waar elke toekomstige eweknie daarheen kan afonderhandel nie.

Teken die vier parameters, die groep, die verbindingsomvang en die herslutelingsuitslag aan. Dit is ’n kort nota, en dit is die verskil tussen ’n prosedure en ’n verhaal oor die keer toe die tonnel opgekom het.