IKEv2 NO_PROPOSAL_CHOSEN: pa gam a wrthododd y set?

Mae NO_PROPOSAL_CHOSEN mewn log yn anfon pobl at yr allwedd a rennir ymlaen llaw, ac mae'r gwall yn goroesi'r newid. Nid problem manylion mewngofnodi oedd hi erioed: gwrthododd y cyfoed bob cynnig a gynigiwyd ar gyfer y cyfnewid hwnnw, sy'n ddatganiad am algorithmau yn hytrach nag am hunaniaeth. Nid y cwestiwn defnyddiol cyntaf yw pa algorithm i'w olygu, ond pa gyfnewid a wrthodwyd. Atebwch hynny cyn cymharu unrhyw beth. Yna cymharwch y set lawn a gynigiwyd â'r set lawn a ganiateir gan y cyfoed.

Yn gyntaf: pa gyfnewid a wrthodwyd

Mae IKEv2 yn negodi dau fath o gysylltiad. Mae'r IKE SA yn diogelu'r negodi ei hun, ac mae'r CHILD SA yn diogelu'r traffig. Mae gan bob un ei set cynigion ei hun, a gall pob un fethu â'r un hysbysiad. Mae angen atgyweiriadau gwahanol ar wrthodiad yn ystod negodi IKE cychwynnol ac ar wrthodiad yn ystod negodi CHILD, ac mae'r log fel arfer yn enwi'r cyfnewid linell neu ddwy uwchben yr hysbysiad. Darllenwch y ddwy linell gyda'i gilydd, neu byddwch yn golygu'r rhestr cynigion anghywir.

Nid yw'r hysbysiad ar ei ben ei hun yn nodi'r cyfnewid. Mae'r linell uwch ei ben yn enwi'r SA sy'n cael ei negodi, ac mae'r enw hwnnw'n pwyntio at y rhestr cynigion i'w harchwilio.

Cymharwch setiau cyflawn, nid geiriau allweddol unigol

Mae cynnig yn gyfuniad: algorithm amgryptio, cyfanrwydd neu AEAD, grŵp cyfnewid allweddi, ac unrhyw ffwythiant ffug-hapus. Cymharu enw'r amgryptio yn unig yw'r camgymeriad arferol, oherwydd gall dau gyfoed gytuno ar AES-256 ac o hyd anghytuno ar SHA-1 yn erbyn SHA-256. Ysgrifennwch y setiau a gynigiwyd ac a ganiateir ochr yn ochr yn y cam a fethodd, yna chwiliwch am y croestoriad gwag.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Gwiriwch hefyd fod y ddau weithrediad yn cefnogi'r hyn a ffurfweddwyd gennych. Gall enw a gopïwyd o blatfform arall edrych yn gyfarwydd yn gystrawennol tra bod y plygin neu'r gweithrediad ar goll yn gyfan gwbl.

Mae set IKE a set ESP yn wrthrychau gwahanol

Ni fydd golygu'r cynnig IKE yn atgyweirio cynnig CHILD a wrthodwyd, ac mae'r gwrthwyneb hefyd yn wir. Yn strongSwan mae'r rhain yn osodiadau ar wahân, yn fras proposals = aes256-sha256-modp2048 ar gyfer yr IKE SA a rhestr ESP ar wahân ar gyfer y CHILD SA. Newidiwch y rhestr sy'n cyfateb i'r cyfnewid a fethodd, yna darllenwch y log eto yn hytrach na thybio bod yr atgyweiriad wedi gweithio.

Ar gyfer y CHILD SA, yr osodiad perthnasol yw'r rhestr cynigion ESP, nid yr IKE. Mae copïo'r linell IKE iddi yn cynhyrchu ffurfweddiad sy'n parsio ac yn negodi'r gwrthrych anghywir.

Twnnel sy'n gweithio ac yn methu wrth ail-allweddu

Os rhedodd y twnnel am awr ac yna methu, nid y negodi cychwynnol yw'r broblem. Gall ail-allweddu arfer amodau gwahanol: grŵp cyfnewid allweddi gwahanol ar ôl y cyfnewid cyntaf, anghytundeb lifetime rhwng cyfoedion, neu bolisi ymatebydd a newidiodd. Cadwch y stamp amser adnewyddu a'r dynodwyr cysylltiad o'r ddwy ochr. Mae angen cymhariaeth cynigion yn ystod adnewyddu ar y patrwm hwnnw, nid timeout hirach. Mae newid timeout yn cuddio'r symptom ac yn gadael yr anghytundeb yn ei le.

ipsec statusall yn dangos pob cysylltiad a'r algorithmau a negodwyd mewn gwirionedd. Yr allbwn hwnnw yw'r ffordd gyflymaf i gadarnhau pa restr a ddefnyddiwyd, ac mae'n gwahanu gwall ffurfweddu oddi wrth dwnnel hen nad yw byth wedi ail-negodi.

ipsec statusall | grep -E "IKE:|ESP:"

Dewiswch groestoriad, yna cadarnhewch y ddau gam

Gofynnwch i'r gweinyddwr ddewis croestoriad modern dogfennedig y mae'r ddau gyfoed yn ei gefnogi, a'i ysgrifennu i lawr. Peidiwch â datrys y gwall drwy alluogi pob algorithm hen ffasiwn na drwy analluogi dilysu hunaniaeth, oherwydd nid yw'r naill na'r llall yn dilyn o wrthodiad. Ar ôl y newid, sefwch gysylltiad newydd ac yna gorfodwch ail-allweddu. Nid yw'r cysylltiad cyntaf ar ei ben ei hun yn profi bod y llwybr adnewyddu'n gweithio.

Cadwch y cyfuniad a dderbyniwyd gyda fersiynau'r firmware. Os yw'r gwall nesaf yn ymwneud â detholwyr traffig, triniwch ef ar wahân, oherwydd nid yw cytundeb ar gryptograffeg yn dweud dim am ba is-rwydweithiau y mae'r twnnel yn eu diogelu. dogfennaeth cynigion strongSwan yn ymdrin â'r gystrawen ar gyfer y ddwy restr.