Windows və strongSwan IKE təklifləri: dörd transformasiyanın uyğunlaşdırılması
Tərəflər açar mübadiləsi qrupu barədə razılaşmadıqda ortaq şifrə kifayət etmir. Dörd transformasiyanın hamısını müqayisə edin, sonra bir əhatəli profil siyasəti tətbiq edin.
İki tərəf də AES-i dəstəkləyir, hər ikisi SHA-256-nı qəbul edir, amma tunel yenə qalxmır. Təklif heç kimin müqayisə etmədiyi bir komponentdə uğursuz oldu, adətən açar mübadiləsi qrupu. Bu təlimat heç nəyi dəyişməzdən əvvəl faktiki mübadiləni oxuyur, bir əhatəli siyasət tətbiq edir və əvvəlki parametrləri bərpa edən geri qaytarma buraxır.
Qrupu dəyişməzdən əvvəl uğursuzluğu oxuyun
«Siyasət uyğunluğu xətası» diaqnoz deyil, xülasədir. O, qarşılıqlı qəbul edilən təklifin tapılmadığını bildirir və hansı komponentin rədd edildiyi barədə heç nə demir. Ona konkret qrup haqqında sübut kimi deyil, araşdırmanın başlanğıcı kimi baxın.
Cavabı adətən server tərəfi daşıyır. Müvafiq səviyyədə strongSwan jurnalı müştəridən aldığı təklifi və qəbul etmək üçün konfiqurasiya olunduğu təklifi sadalayır, iki siyahı arasındakı fərq isə uğursuz olan komponenti adlandırır.
Müştərinin köhnə forum yazısında deyilənləri təklif etdiyini güman etməyin. Aktiv profil və onun quraşdırılmış siyasəti təklif olunan siyahını müəyyən edir, yenilənmiş Windows buraxılışı isə kopyaladığınız ekran görüntüsündəkindən fərqli dəst təklif edə bilər.
Hər iki siyahını yazın. Dörd transformasiya mövqeyi və bir qrup qısa siyahıdır, onu sətir-sətir müqayisə etmək hər hansı eksperimentdən az vaxt aparır. Dörd mövqeyi yadda saxlamaq asandır. Jurnal faylını yox.
Hər transformasiyanı müqayisə edin, bir tanış adı yox
IKE təklifi hamısı uyğun gəlməli olan seçimlər toplusudur. Şifrələmə danışıqları qoruyur, bütövlük və ya PRF onu doğrular, Diffie-Hellman qrupu isə təzə açar materialı yaradır. İlk ikisində uyğun gəlib üçüncüsündə fərqlənən təklif hər iki tərəf üçün yenə qəbuledilməzdir.
Burada qarışdırılan iki Windows sahəsi müxtəlif mərhələlərə aiddir. DHGroup IKE açar mübadiləsinə, PfsGroup isə trafiki qoruyan uşaq assosiasiyasına aiddir. İkincini dəyişmək birincidəki uğursuzluğu düzəldə bilməz.
Qrup adları tətbiqlər arasında fərqlənir və bu, ayrı bir çaşqınlıq mənbəyidir. strongSwan modp2048 və ecp256 yazır, Windows isə Group14 və ECP256 kimi sadalama adlarından istifadə edir, ona görə müqayisə etməzdən əvvəl çevirmək lazımdır. Hər iki adı olan iki sütunlu qeyd saxlayın. Sonra növbəti uyğunsuzluğu təsnif etmək saniyələr aparır.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
Bir tam və əhatəli siyasət tətbiq edin
Yerli IKEv2 profili üçün dəstəklənən alət hər bağlantı üçün IPsec siyasətidir və sahə-sahə deyil, bir obyekt kimi qurulur. Əvvəlcə önizləyin, sonra tətbiq edin və əvvəlki parametrləri dəyişiklik qeydində saxlayın.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf açarı yerli dəyişikliyi önizləyir və heç nə tətbiq etmir. Bu faydalıdır və eyni zamanda geniş yayılmış tələdir, çünki önizləmə yalnız parametrlərin yerli cmdlet üçün sintaktik cəhətdən məqbul olduğunu sübut edir. Şlüzün yaranan təklifi qəbul edib-etməyəcəyi barədə heç nə demir.
Yeri gəlmişkən, əhatəni uyğunlaşdırın. Bütün istifadəçilər anbarındakı bağlantıya uyğun bütün-istifadəçi parametri lazımdır, eyni göstərilən adla fərdi istifadəçi profilini redaktə etmək isə tunelin istifadə etmədiyi başqa obyekti dəyişir.
Sonra sınaqdan əvvəl strongSwan tərəfini də eyni dəstə uyğunlaşdırın. Hər iki tərəfdə əlaqələndirilmiş dəyişiklik bunun yaxınlaşan yeganə variantıdır; bir tərəfi dəyişib təkrar-təkrar cəhd etmək eyni rədd ilə dolu jurnal yaradır.
Mübadiləni və açar yenilənməsini ayrıca yoxlayın
Uğurlu bağlantı bir müşahidədir, açar yenilənməsi isə başqa. İlkin IKE danışıqları bir parametr dəsti istifadə edir, trafiki daşıyan uşaq assosiasiyası isə sonra öz siyasəti ilə yenidən danışıq apara bilər. Qoşulub bir müddət sonra düşən qurğu adətən ikinci haldır.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *Birinci əmr serverin qurulmuş assosiasiyalara baxışını, o cümlədən uşaq SA-nı və onun qalan ömrünü göstərir. İkincisi müştəri profilinin indi nə saxladığını göstərir və qurduğunuz siyasətin qüvvədə olan siyasət olduğunu təsdiqləməyin yeganə yoludur.
Uğur elan etməzdən əvvəl tam açar yenilənməsini izləyin. Bu, bağlantını uşaq assosiasiyası dəyişdirilənə qədər kifayət qədər açıq saxlamaq və sonra trafikin davam etdiyini təsdiqləmək deməkdir. Siyasət uyğunsuzluqlarının çoxu bu addımda gizlənir, çünki ilkin danışıqlar açar yenilənməsinin qəbul etmədiyi dəstlə uğurla başa çata bilər.
Geri qaytarma əvvəlki parametr dəstidir, hər şeyə icazə verən ehtiyat deyil. Əgər müştəri yalnız zəif köhnə qrup təklif edibsə, cavab müştəri və serverin ortaq siyasətini yaxşılaşdırmaqdır, o qrupu hər gələcək tərəfin aşağı danışıq edə biləcəyi şlüzə əlavə etmək deyil.
Dörd parametri, qrupu, bağlantı əhatəsini və açar yenilənməsinin nəticəsini qeyd edin. Bu qısa bir qeyddir və iş təlimatı ilə tunelin qalxdığı vaxt barədə hekayə arasındakı fərqdir.