Windows kaj strongSwan: kongruigi la kvar transformojn de IKE-propono

Ambaŭ partneroj subtenas AES, ambaŭ akceptas SHA-256, kaj la tunelo tamen ne malfermiĝas. La propono fiaskis ĉe komponanto, kiun neniu komparis, kutime la ŝlosilinterŝanĝa grupo. Ĉi tiu gvidilo legas la efektivan interŝanĝon antaŭ ol ŝanĝi ion, aplikas unu limigitan politikon kaj lasas reprenon, kiu restarigas la antaŭajn parametrojn.

Legu la fiaskon antaŭ ol ŝanĝi grupon

„Politika-kongrua eraro“ estas resumo, ne diagnozo. Ĝi signifas, ke oni trovis neniun reciproke akcepteblan proponon, kaj ĝi diras nenion pri tio, kiu komponanto estis rifuzita. Traktu ĝin kiel la komencon de la esploro, ne kiel pruvon pri difinita grupo.

La respondo kutime kuŝas ĉe la servila flanko. strongSwan-protokolo je taŭga nivelo listigas la proponon, kiun ĝi ricevis de la kliento, kaj la proponon, kiun ĝi estas agordita akcepti, kaj la diferenco inter la du listoj nomas la komponanton, kiu fiaskis.

Ne supozu, ke la kliento proponas tion, kion asertas malnova forumafiŝo. La aktiva profilo kaj ĝia instalita politiko decidas la proponatan liston, kaj ĝisdatigita Windows-konstruo povas proponi alian aron ol tiu en la ekrankopio, el kiu vi kopias.

Skribu ambaŭ listojn. Kvar transformaj pozicioj kaj unu grupo estas mallonga listo, kaj kompari ĝin linio post linio daŭras malpli longe ol iu ajn eksperimento. Kvar poziciojn oni facile tenas en la vido. Protokolan dosieron ne.

Komparu ĉiun transformon, ne unu konatan nomon

IKE-propono estas aro de elektoj, kiuj ĉiuj devas kongrui. Ĉifrado protektas la intertraktadon, integreco aŭ PRF aŭtentikigas ĝin, kaj Diffie-Hellman-grupo starigas freŝan ŝlosilomaterialon. Propono, kiu kongruas ĉe la du unuaj kaj malsamas ĉe la tria, restas neakceptebla por ambaŭ partneroj.

La du Windows-kampoj, kiujn oni konfuzas ĉi tie, apartenas al malsamaj fazoj. DHGroup rilatas al la IKE-ŝlosilinterŝanĝo, dum PfsGroup rilatas al la infana asocio, kiu protektas la trafikon. Ŝanĝi la duan ne povas ripari fiaskon en la unua.

Grupnomoj malsamas inter realigoj, kaj tio estas aparta fonto de konfuzo. strongSwan skribas modp2048 kaj ecp256, dum Windows uzas enumajn nomojn kiel Group14 kaj ECP256, do komparo devas traduki antaŭ ol kompari. Tenu dukolumnan noton kun ambaŭ nomoj. La sekva malkongruo tiam klasifikiĝas en sekundoj.

Apliku unu kompletan, limigitan politikon

La subtenata ilo por indiĝena IKEv2-profilo estas IPsec-politiko por konekto, agordita kiel unu objekto anstataŭ kampo post kampo. Antaŭrigardu ĝin unue, poste apliku ĝin, kaj konservu la antaŭajn parametrojn en la ŝanĝprotokolo.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

La ŝaltilo -WhatIf antaŭrigardas la lokan ŝanĝon kaj aplikas nenion. Tio utilas, kaj ĝi ankaŭ estas ofta kaptilo, ĉar antaŭrigardo nur pruvas, ke la parametroj estas sintakse akcepteblaj por la loka cmdlet. Ĝi diras nenion pri tio, ĉu la enirejo akceptos la rezultan proponon.

Kongruigu ankaŭ la amplekson dum vi estas tie. Konekto en la konservejo por ĉiuj uzantoj bezonas la respondan parametron por ĉiuj uzantoj, kaj redakti la profilon por unu uzanto kun la sama montrata nomo ŝanĝas alian objekton, kiun la tunelo ne uzas.

Poste agordu la strongSwan-flankon al la sama aro antaŭ ol testi. Kunordigita ŝanĝo ĉe ambaŭ finoj estas la sola versio de tio, kiu konverĝas; ŝanĝi unu flankon kaj ripete reprovi produktas protokolon plenan de la sama rifuzo.

Kontrolu la interŝanĝon kaj la ŝlosilrenovigon aparte

Sukcesa konekto estas unu observo, kaj la ŝlosilrenovigo estas alia. La komenca IKE-intertraktado uzas unu aron da parametroj, kaj la infana asocio, kiu portas trafikon, povas poste esti reintertraktata kun sia propra politiko. Agordo, kiu konektiĝas kaj poste falas post iom da tempo, kutime estas la dua kazo.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

La unua komando montras la vidon de la servilo pri la establitaj asocioj, inkluzive la infanan SA kaj ĝian restantan vivdaŭron. La dua montras, kion la klienta profilo nun tenas, kaj tio estas la sola maniero konfirmi, ke la politiko, kiun vi agordis, estas la politiko en efiko.

Observu plenan ŝlosilrenovigon antaŭ ol deklari sukceson. Tio signifas lasi la konekton supren sufiĉe longe, ke la infana asocio anstataŭiĝu, kaj poste konfirmi, ke la trafiko daŭras. Plej multaj politikaj malkongruoj kaŝiĝas en tiu paŝo, ĉar la komenca intertraktado povas sukcesi kun aro, kiun la renovigo ne akceptas.

Repreno estas la antaŭa parametraro, ne cedema rezervo. Se la kliento proponis nur malfortan malnovan grupon, la respondo estas plibonigi la komunan politikon de kliento kaj servilo, ne aldoni tiun grupon al la enirejo, kie ĉiu estonta partnero povos intertrakti malsupren ĝis ĝi.

Notu la kvar parametrojn, la grupon, la amplekson de la konekto kaj la rezulton de la ŝlosilrenovigo. Tio estas mallonga noto, kaj ĝi estas la diferenco inter gvidilo kaj rakonto pri tiu fojo, kiam la tunelo malfermiĝis.