Windows και strongSwan: αντιστοίχιση των τεσσάρων μετασχηματισμών σε μια πρόταση IKE

Και οι δύο κόμβοι υποστηρίζουν AES, και οι δύο δέχονται SHA-256, και το τούνελ ωστόσο δεν σηκώνεται. Η πρόταση απέτυχε σε ένα συστατικό που δεν σύγκρινε κανείς, συνήθως στην ομάδα ανταλλαγής κλειδιών. Αυτός ο οδηγός διαβάζει την πραγματική ανταλλαγή πριν αλλάξει οτιδήποτε, εφαρμόζει μία περιορισμένη πολιτική και αφήνει μια επαναφορά που αποκαθιστά τις προηγούμενες παραμέτρους.

Διαβάστε την αποτυχία πριν αλλάξετε ομάδα

Το «σφάλμα αντιστοίχισης πολιτικής» είναι σύνοψη, όχι διάγνωση. Σημαίνει ότι δεν βρέθηκε αμοιβαία αποδεκτή πρόταση και δεν λέει τίποτε για το ποιο συστατικό απορρίφθηκε. Αντιμετωπίστε το ως την αρχή της έρευνας και όχι ως απόδειξη για μια συγκεκριμένη ομάδα.

Την απάντηση τη δίνει συνήθως η πλευρά του διακομιστή. Ένα αρχείο καταγραφής strongSwan στο κατάλληλο επίπεδο απαριθμεί την πρόταση που έλαβε από τον πελάτη και την πρόταση που είναι ρυθμισμένο να δέχεται, και η διαφορά των δύο λιστών ονομάζει το συστατικό που απέτυχε.

Μην υποθέσετε ότι ο πελάτης προσφέρει ό,τι λέει μια παλιά δημοσίευση σε φόρουμ. Το ενεργό προφίλ και η εγκατεστημένη πολιτική του καθορίζουν την προσφερόμενη λίστα, και μια ενημερωμένη έκδοση των Windows μπορεί να προσφέρει διαφορετικό σύνολο από αυτό στο στιγμιότυπο οθόνης που αντιγράφετε.

Γράψτε και τις δύο λίστες. Τέσσερις θέσεις μετασχηματισμού και μία ομάδα είναι σύντομη λίστα, και η σύγκρισή της γραμμή προς γραμμή διαρκεί λιγότερο από οποιοδήποτε πείραμα. Τέσσερις θέσεις κρατιούνται εύκολα στο μάτι. Ένα αρχείο καταγραφής όχι.

Συγκρίνετε κάθε μετασχηματισμό, όχι ένα οικείο όνομα

Μια πρόταση IKE είναι ένα σύνολο επιλογών που πρέπει να ταιριάζουν όλες. Η κρυπτογράφηση προστατεύει τη διαπραγμάτευση, η ακεραιότητα ή ένα PRF την πιστοποιεί, και μια ομάδα Diffie-Hellman δημιουργεί νέο υλικό κλειδιού. Μια πρόταση που ταιριάζει στα δύο πρώτα και διαφέρει στο τρίτο παραμένει απαράδεκτη και για τους δύο κόμβους.

Τα δύο πεδία των Windows που μπερδεύονται εδώ ανήκουν σε διαφορετικές φάσεις. Το DHGroup αφορά την ανταλλαγή κλειδιών IKE, ενώ το PfsGroup αφορά τη θυγατρική συσχέτιση που προστατεύει την κίνηση. Η αλλαγή του δεύτερου δεν μπορεί να διορθώσει αποτυχία στο πρώτο.

Τα ονόματα των ομάδων διαφέρουν μεταξύ υλοποιήσεων και αυτό είναι ξεχωριστή πηγή σύγχυσης. Το strongSwan γράφει modp2048 και ecp256, ενώ τα Windows χρησιμοποιούν ονόματα απαρίθμησης όπως Group14 και ECP256, οπότε η σύγκριση πρέπει να μεταφράσει πριν συγκρίνει. Κρατήστε σημείωση δύο στηλών με τα δύο ονόματα. Τότε η επόμενη ασυμφωνία ταξινομείται σε δευτερόλεπτα.

Εφαρμόστε μία πλήρη και περιορισμένη πολιτική

Το υποστηριζόμενο εργαλείο για ένα εγγενές προφίλ IKEv2 είναι μια πολιτική IPsec ανά σύνδεση, ορισμένη ως ένα αντικείμενο και όχι πεδίο προς πεδίο. Δείτε την πρώτα σε προεπισκόπηση, μετά εφαρμόστε την, και κρατήστε τις προηγούμενες παραμέτρους στο αρχείο αλλαγών.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Ο διακόπτης -WhatIf δείχνει την τοπική αλλαγή σε προεπισκόπηση και δεν εφαρμόζει τίποτε. Αυτό είναι χρήσιμο και ταυτόχρονα κοινή παγίδα, γιατί η προεπισκόπηση αποδεικνύει μόνο ότι οι παράμετροι είναι συντακτικά αποδεκτές για το τοπικό cmdlet. Δεν λέει τίποτε για το αν η πύλη θα δεχτεί την πρόταση που προκύπτει.

Ταιριάξτε και το εύρος όσο είστε εκεί. Μια σύνδεση στο χώρο όλων των χρηστών χρειάζεται την αντίστοιχη παράμετρο όλων των χρηστών, και η επεξεργασία του προφίλ ανά χρήστη με το ίδιο εμφανιζόμενο όνομα αλλάζει άλλο αντικείμενο που το τούνελ δεν χρησιμοποιεί.

Έπειτα προσαρμόστε την πλευρά strongSwan στο ίδιο σύνολο πριν δοκιμάσετε. Η συντονισμένη αλλαγή και στα δύο άκρα είναι η μόνη εκδοχή που συγκλίνει· η αλλαγή της μιας πλευράς και οι επανειλημμένες δοκιμές παράγουν αρχείο γεμάτο με την ίδια απόρριψη.

Επαληθεύστε την ανταλλαγή και την ανανέωση κλειδιών χωριστά

Μια επιτυχημένη σύνδεση είναι μία παρατήρηση και η ανανέωση κλειδιών είναι άλλη. Η αρχική διαπραγμάτευση IKE χρησιμοποιεί ένα σύνολο παραμέτρων, και η θυγατρική συσχέτιση που μεταφέρει την κίνηση μπορεί αργότερα να επαναδιαπραγματευτεί με δική της πολιτική. Μια διάταξη που συνδέεται και μετά πέφτει ύστερα από λίγο είναι συνήθως η δεύτερη περίπτωση.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Η πρώτη εντολή δείχνει την εικόνα του διακομιστή για τις εδραιωμένες συσχετίσεις, μαζί με τη θυγατρική SA και τον υπόλοιπο χρόνο ζωής της. Η δεύτερη δείχνει τι κρατά τώρα το προφίλ του πελάτη, και είναι ο μόνος τρόπος να επιβεβαιώσετε ότι η πολιτική που ορίσατε είναι η πολιτική που ισχύει.

Παρατηρήστε μια πλήρη ανανέωση κλειδιών πριν κηρύξετε επιτυχία. Αυτό σημαίνει να αφήσετε τη σύνδεση ενεργή αρκετό χρόνο ώστε να αντικατασταθεί η θυγατρική συσχέτιση, και μετά να επιβεβαιώσετε ότι η κίνηση συνεχίζεται. Οι περισσότερες ασυμφωνίες πολιτικής κρύβονται σε αυτό το βήμα, γιατί η αρχική διαπραγμάτευση μπορεί να πετύχει με σύνολο που η ανανέωση δεν δέχεται.

Η επαναφορά είναι το προηγούμενο σύνολο παραμέτρων, όχι ένα επιεικές εναλλακτικό. Αν ο πελάτης πρόσφερε μόνο μια αδύναμη παλιά ομάδα, η απάντηση είναι να βελτιωθεί η κοινή πολιτική πελάτη και διακομιστή, όχι να προστεθεί εκείνη η ομάδα στην πύλη όπου κάθε μελλοντικός κόμβος θα μπορεί να διαπραγματευτεί προς τα κάτω ως εκείνη.

Καταγράψτε τις τέσσερις παραμέτρους, την ομάδα, το εύρος της σύνδεσης και το αποτέλεσμα της ανανέωσης κλειδιών. Είναι μια σύντομη σημείωση, και είναι η διαφορά ανάμεσα σε έναν οδηγό και σε μια ιστορία για τη φορά που σηκώθηκε το τούνελ.