Windows və strongSwan şifrələri: düzgün qatı uyğunlaşdırın

Hər iki tərəf AES-128 deyir, tunel isə hələ də qurulmaqdan imtina edir. CBC və GCM eyni açar uzunluğunu təsadüfən bölüşən fərqli transformasiyalardır və birini təklif edən müştəri yalnız digərini qəbul edən şlüzü qane etmir. AES sözü bir ailəni təsvir edir, razılaşmanı yox.

İkinci bir ox da var və çaşdırıcı xətaları məhz o yaradır.

İki qat, iki müstəqil siyahı

IKE danışıqların özünü qoruyur, uşaq assosiasiyası isə əslində narahat olduğunuz trafiki qoruyur. Windows birincini şifrələmə üsulu və bütövlük üsulu kimi, ikincini isə şifrə və autentifikasiya transformasiya sabitləri kimi təqdim edir. Bu sahələr bir-birinin sinonimi deyil və birində keçərli olan dəyər digərində mənasız və ya səhv ola bilər. Profili bu bölgü ilə oxumaq qarışıqlığın çoxunu aradan qaldırır.

Praktik nəticə odur ki, tamamilə məqbul açar mübadiləsi siyasətiniz və həmkarın qəbul etməyəcəyi məlumat kanalı siyasətiniz ola bilər. Bir siyahı danışıq aparır; digəri paketləri qoruyur. Birincidə dəyəri dəyişmək ikinciyə heç bir təsir etmir, hər ikisi konfiqurasiya dialoqunda nə qədər oxşar görünsə də.

Hər iki siyahını şlüzlə müqayisə etməzdən əvvəl yazın. Yaddaşdan aparılan müqayisə bir sahənin iki dəfə redaktə edilməsi, digərinin isə heç vaxt edilməməsidir. Şlüz konsolunu profilin yanında açıq saxlayın.

Xətanı təkliflərin yanında oxuyun

Uğursuz olan mərhələ hansı siyahıya baxmalı olduğunuzu deyir. İlkin açar mübadiləsi zamanı imtina IKE təklifi problemidir, və bu, hər hansı uşaq assosiasiyası yaranmazdan əvvəl baş verir. Qorunan trafik assosiasiyası danışıq edilərkən baş verən uğursuzluq ESP təklifi problemidir və açar mübadiləsi artıq uğurla başa çatıb. Müştəridən gələn ümumi siyasət uyğunluğu mesajı heç bir mərhələni adlandırmır, buna görə şlüzün öz baxışı faydalı olanıdır.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

Alınan təklifi, konfiqurasiya edilmiş təklifi və seçilmiş təklifi müqayisə edin həmin tək cəhd üçün. Burada üç fərqli siyahı vacibdir və yalnız sonuncusu həqiqətən istifadə olunanı təsvir edir. Onu biletə xülasə etmək əvəzinə hərfi şəkildə sitat gətirin.

CBC və GCM-i ayrı alternativlər kimi saxlayın

Qəsdən hər iki ailəni qəbul etməyə icazə verilən şlüzə iki təklif lazımdır, bir yox. strongSwan-da vergül alternativləri ayırır, defis isə tək dəstin komponentlərini birləşdirir. Hər iki ailəni defislərlə birləşdirmək iki məqbul təklif əvəzinə bir qeyri-mümkün təklif yaradır.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

Birinci alternativ autentifikasiyalı şifrələmə daşıyır və yenə də psevdotəsadüfi funksiya adlandırır, çünki açar törəməsi bütövlük şifrədən gəlsə belə ona ehtiyac duyur. İkinci alternativ ayrı bütövlük alqoritmi ilə klassik şifrələmədir. Hər ikisi yüklənmiş kripto tətbiqinin dəstəklədiyindən asılı qalır.

ESP təklifi yenidən adlandırılmış IKE təklifi deyil

Şifrə tokeni hər iki siyahıda eyni görünür və başqa demək olar ki, heç nə keçmir. ESP təklifində açar mübadiləsi psevdotəsadüfi funksiyası yoxdur və onun bütövlük və irəli gizlilik tələbləri IKE sətrindən köçürülmək əvəzinə qarşı tərəfdəki Windows siyasətinə qarşı müzakirə olunur. Bir siyahını digərinə mexaniki çevirmək doğrulanan, lakin heç vaxt danışıq aparmayan bir şey yaradır.

Bir istiqamət seçin və onda qalın. Ya şlüz yalnız GCM siyasəti saxlayır və müştəri tam uyğun siyasət yerləşdirir, ya da şlüz hər iki ailəni qəbul edir və müştəri mövcud dəstini saxlayır. Təhlükəsizlik siyasətinin qadağan etdiyi ehtiyat variantı işə salmaq düzəliş deyil, xətanı nə qədər tez aradan qaldırsa da.

Hər iki dəsti, sonra açar yenilənməsini yoxlayın

Seçilmiş açar mübadiləsi dəstini və seçilmiş trafik dəstini ayrı-ayrılıqda təsdiqləyin, çünki onlar fərqli siyahılardan gəlir və müstəqil şəkildə uğur qazana bilər. Sonra açar yenilənməsinin baş verməsinə icazə verin və onu da təsdiqləyin. İşləyən ilk əl sıxışma və uğursuz açar yenilənməsi yalnız qismən məqbul olan təklif dəstini təsvir edir.

Bu sübutu dəyişikliklə birlikdə saxlayın. Təkrarlanan əlaqə kəsilməsi kiminsə taymeri və ya platforma qüsurunu günahlandırmasından əvvəl öz uğursuz mübadilə qeydini tələb edir.