Seiffrau Windows a strongSwan: paru'r haen gywir

Mae'r ddau ben yn dweud AES-128 ac mae'r twnnel yn dal i wrthod cael ei adeiladu. Mae CBC a GCM yn drawsnewidiadau gwahanol sy'n digwydd rhannu hyd allwedd, ac nid yw cleient sy'n cynnig un yn bodloni porth sy'n derbyn y llall yn unig. Mae'r gair AES yn disgrifio teulu, nid cytundeb.

Mae echelin ail hefyd, a honno sy'n cynhyrchu'r gwallau dryslyd.

Dwy haen, dwy restr annibynnol

Mae IKE yn gwarchod y trafodaeth ei hun, tra bod y gymdeithas blentyn yn gwarchod y traffig rydych chi wir yn poeni amdano. Mae Windows yn datgelu'r cyntaf fel dull amgryptio a dull cyfanrwydd, a'r ail fel cysonion trawsnewid seiffr a dilysu. Nid yw'r meysydd hynny'n alias i'w gilydd, a gall gwerth sy'n ddilys yn un fod yn ddiystyr neu'n anghywir yn y llall. Mae darllen y proffil gyda'r rhaniad hwnnw mewn cof yn dileu'r rhan fwyaf o'r dryswch.

Y canlyniad ymarferol yw y gallwch gael polisi cyfnewid allweddi hollol dderbyniol a pholisi sianel ddata na fydd y cymar yn ei dderbyn. Mae un rhestr yn trafod; mae'r llall yn gwarchod pecynnau. Nid oes gan newid gwerth yn y cyntaf unrhyw effaith ar yr ail, waeth pa mor debyg y mae'r ddau yn edrych mewn deialog ffurfweddu.

Ysgrifennwch y ddwy restr cyn eu cymharu â'r porth. Cymhariaeth o'r cof yw sut mae un maes yn cael ei olygu ddwywaith a'r llall byth. Cadwch gonsol y porth ar agor wrth ymyl y proffil.

Darllenwch y gwall wrth ymyl y cynigion

Mae'r cam a fethodd yn dweud wrthych pa restr i'w harchwilio. Mae gwrthodiad yn ystod y cyfnewid allweddi cychwynnol yn broblem cynnig IKE, ac mae'n digwydd cyn bod unrhyw gymdeithas blentyn yn bodoli. Mae methiant wrth drafod y gymdeithas traffig gwarchodedig yn broblem cynnig ESP, ac mae'r cyfnewid allweddi eisoes wedi llwyddo. Nid yw neges cyfatebiaeth polisi generig gan y cleient yn enwi'r naill gam na'r llall, a dyna pam mai golygfa'r porth ei hun yw'r un ddefnyddiol.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

Cymharwch y cynnig a dderbyniwyd, y cynnig a ffurfweddwyd a'r un a ddewiswyd ar gyfer yr un ymgais honno. Mae tair rhestr wahanol yn bwysig yma, a dim ond yr olaf sy'n disgrifio'r hyn a ddefnyddiwyd mewn gwirionedd. Dyfynnwch ef yn llythrennol yn y tocyn yn hytrach na'i grynhoi.

Cadwch CBC a GCM fel dewisiadau ar wahân

Mae porth y caniateir yn fwriadol iddi dderbyn y naill deulu neu'r llall angen dau gynnig, nid un. Yn strongSwan mae coma'n gwahanu dewisiadau, ac mae cysylltnod yn uno cydrannau un gyfuniad. Mae cyfuno'r ddau deulu â chysylltnodau yn cynhyrchu un cynnig amhosibl yn hytrach na dau dderbyniol.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

Mae'r dewis cyntaf yn cario amgryptio dilysedig ac yn dal i enwi ffwythiant ffug-hap, oherwydd mae angen un ar ddeilliad allwedd hyd yn oed pan ddaw cyfanrwydd o'r seiffr. Mae'r ail ddewis yn amgryptio clasurol ag algorithm cyfanrwydd ar wahân. Mae'r ddau yn parhau'n ddarostyngedig i'r hyn y mae'r gweithrediad crypto a lwythwyd yn ei gefnogi.

Nid yw cynnig ESP yn gynnig IKE wedi'i ailenwi

Mae tocyn y seiffr yn edrych yn unfath yn y ddwy restr, ac nid yw bron dim arall yn trosglwyddo. Nid oes gan gynnig ESP ffwythiant ffug-hap cyfnewid allweddi, ac mae ei ofynion cyfanrwydd a chyfrinachedd ymlaen yn cael eu dadlau yn erbyn polisi Windows ar yr ochr arall yn hytrach na'u copïo o linell IKE. Mae trosi un rhestr i'r llall yn fecanyddol yn cynhyrchu rhywbeth sy'n dilysu ac byth yn trafod.

Dewiswch gyfeiriad ac arhoswch ynddo. Naill ai mae'r porth yn cadw polisi GCM yn unig ac mae'r cleient yn defnyddio polisi cydnaws cyflawn, neu mae'r porth yn derbyn y ddau deulu ac mae'r cleient yn cadw ei gyfuniad presennol. Nid yw galluogi cwymp yn ôl y mae'r polisi diogelwch yn ei wahardd yn atgyweiriad, waeth pa mor gyflym y mae'n clirio'r gwall.

Gwiriwch y ddau gyfuniad, yna ail-allwedd

Cadarnhewch y gyfuniad cyfnewid allweddi a ddewiswyd a'r gyfuniad traffig a ddewiswyd ar wahân, oherwydd maent yn dod o restrau gwahanol a gallant lwyddo'n annibynnol. Yna gadewch i ail-allwedd ddigwydd a'i gadarnhau hefyd. Mae ysgydwad llaw cyntaf sy'n gweithio ac ail-allwedd sy'n methu yn disgrifio set o gynigion sydd ond yn rhannol dderbyniol.

Cadwch y dystiolaeth honno gyda'r newid. Mae datgysylltiad rheolaidd angen ei gofnod cyfnewid methiedig ei hun cyn i unrhyw un feio amserydd neu nam platfform.