Windows і strongSwan: прапановы IKE і адпаведнасць чатырох пераўтварэнняў

Абодва бакі падтрымліваюць AES і прымаюць SHA-256, але тунель усё роўна не ўзнімаецца. Прапанова правалілася на кампаненце, які ніхто не параўнаў, звычайна гэта група абмену ключамі. Гэтая інструкцыя чытае фактычны абмен перад любымі зменамі, прымяняе адну абмежаваную палітыку і пакідае адкат, які вяртае папярэднія параметры.

Прачытайце збой, перш чым змяняць групу

«Памылка адпаведнасці палітыкі» — гэта зводка, а не дыягназ. Яна азначае, што ўзаемна прымальнай прапановы не знойдзена, і нічога не кажа пра тое, які кампанент адхілены. Стаўцеся да яе як да пачатку расследавання, а не як да доказу пра пэўную групу.

Адказ звычайна трымае бок сервера. Журнал strongSwan на адпаведным узроўні пералічвае прапанову, якую ён атрымаў ад кліента, і прапанову, якую ён настроены прымаць, а розніца паміж двума спісамі называе кампанент, які не прайшоў.

Не мяркуйце, што кліент прапануе тое, што сказана ў старым допісе на форуме. Актыўны профіль і ўсталяваная ў ім палітыка вызначаюць прапанаваны спіс, а абноўлены збор Windows можа прапанаваць іншы набор, чым той, што на здымку экрана, з якога вы капіюеце.

Запішыце абодва спісы. Чатыры пазіцыі пераўтварэнняў і адна група — гэта кароткі спіс, і параўнанне радок за радком бярэ менш часу, чым любы эксперымент. Чатыры пазіцыі лёгка ўтрымаць у полі зроку. А файл журнала — не.

Параўноўвайце кожнае пераўтварэнне, а не адно знаёмае імя

Прапанова IKE — гэта набор выбараў, якія ўсе павінны супасці. Шыфраванне абараняе перамовы, цэласнасць або PRF аўтэнтыфікуе іх, а група Diffie-Hellman стварае свежы ключавы матэрыял. Прапанова, якая супадае па першых двух і адрозніваецца па трэцім, усё роўна непрымальная для абодвух бакоў.

Два палі Windows, якія тут блытаюць, належаць да розных фаз. DHGroup датычыцца абмену ключамі IKE, а PfsGroup — даччынай асацыяцыі, якая абараняе трафік. Змена другога не выправіць збой у першым.

Назвы груп розныя ў розных рэалізацыях, і гэта асобная крыніца блытаніны. strongSwan піша modp2048 і ecp256, а Windows ужывае назвы пералічэння, такія як Group14 і ECP256, таму перад параўнаннем трэба перакласці. Трымайце нататку ў два слупкі з абодвума назвамі. Тады наступная неадпаведнасць класіфікуецца за секунды.

Прымяніце адну поўную і абмежаваную палітыку

Падтрыманы інструмент для роднага профілю IKEv2 — гэта палітыка IPsec на злучэнне, якая задаецца адным аб'ектам, а не па адным полі. Спачатку прагледзьце яе, затым прымяніце і захавайце папярэднія параметры ў запісе змен.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Перамыкач -WhatIf праглядае лакальную змену і нічога не прымяняе. Гэта карысна і адначасова з'яўляецца звычайнай пасткай, бо прагляд даказвае толькі тое, што параметры сінтаксічна прымальныя для лакальнага cmdlet. Ён нічога не кажа пра тое, ці прыме шлюз атрыманую прапанову.

Заадно ўзгадніце ахоп. Злучэнню ў сховішчы ўсіх карыстальнікаў патрэбны адпаведны параметр для ўсіх карыстальнікаў, а рэдагаванне профілю асобнага карыстальніка з тым жа адлюстраваным імем змяняе іншы аб'ект, які тунель не выкарыстоўвае.

Затым перад тэставаннем прывядзіце бок strongSwan да таго ж набору. Узгодненая змена з абодвух бакоў — адзіны варыянт, які збягаецца; змена аднаго боку і паўторныя спробы даюць журнал, поўны аднолькавых адхіленняў.

Праверце абмен і перазамену ключоў асобна

Паспяховае злучэнне — гэта адно назіранне, а перазамена ключоў — іншае. Пачатковыя перамовы IKE выкарыстоўваюць адзін набор параметраў, а даччыная асацыяцыя, якая нясе трафік, можа пазней быць пераабмеркавана са сваёй палітыкай. Наладка, якая падключаецца і потым праз нейкі час адвальваецца, звычайна адносіцца да другога выпадку.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Першая каманда паказвае бачанне серверам усталяваных асацыяцый, уключаючы даччыную SA і яе пакінуты тэрмін жыцця. Другая паказвае, што цяпер трымае профіль кліента, і гэта адзіны спосаб пацвердзіць, што ўсталяваная вамі палітыка і ёсць палітыка, якая дзейнічае.

Назірайце поўную перазамену ключоў, перш чым абвясціць поспех. Гэта значыць пакінуць злучэнне ўзнятым досыць доўга, каб даччыная асацыяцыя замянілася, а затым пацвердзіць, што трафік працягваецца. Большасць неадпаведнасцей палітыкі хаваецца менавіта на гэтым кроку, бо пачатковыя перамовы могуць прайсці з наборам, якога перазамена не прымае.

Адкат — гэта папярэдні набор параметраў, а не дазвольны запасны варыянт. Калі кліент прапанаваў толькі слабую старую групу, адказ — палепшыць агульную палітыку кліента і сервера, а не дадаваць гэтую групу на шлюз, дзе кожны будучы бок зможа дамовіцца да яе.

Запішыце чатыры параметры, групу, ахоп злучэння і вынік перазамены ключоў. Гэта кароткая нататка, і яна — розніца паміж інструкцыяй і гісторыяй пра тое, як аднойчы ўзняўся тунель.