Windows ja strongSwan: IKE-pakkumise nelja transformi sobitamine
Ühine šifr ei ole piisav, kui pooled ei ole võtmevahetusgrupi osas ühel meelel. Võrrelge kõiki nelja transformi ja rakendage seejärel üks piiratud profiilipoliitika.
Mõlemad pooled toetavad AES-i, mõlemad aktsepteerivad SHA-256-t, ja tunnel ei tõuse ikkagi. Pakkumine ebaõnnestus komponendil, mida keegi ei võrrelnud, tavaliselt võtmevahetusgrupil. See juhend loeb tegeliku vahetuse enne, kui midagi muudetakse, rakendab ühe piiratud poliitika ja jätab tagasipöördumise, mis taastab varasemad parameetrid.
Lugege ebaõnnestumist enne, kui gruppi muudate
„Poliitika sobivuse viga“ on kokkuvõte, mitte diagnoos. See tähendab, et vastastikku vastuvõetavat pakkumist ei leitud, ja see ei ütle midagi selle kohta, milline komponent tagasi lükati. Käsitlege seda uurimise algusena, mitte tõendina konkreetse grupi kohta.
Vastus on tavaliselt serveripoolsel küljel. strongSwan-i logi sobival tasemel loetleb kliendilt saadud pakkumise ja pakkumise, mille vastuvõtmiseks see on seadistatud, ning kahe nimekirja erinevus nimetab komponendi, mis ebaõnnestus.
Ärge eeldage, et klient pakub seda, mida väidab vana foorumipostitus. Aktiivne profiil ja selle paigaldatud poliitika määravad pakutava nimekirja, ja uuendatud Windowsi build võib pakkuda teistsugust kogumit kui see, mis on ekraanipildil, millelt te kopeerite.
Kirjutage mõlemad nimekirjad üles. Neli transformi asendit ja üks grupp on lühike nimekiri ning selle ridade kaupa võrdlemine võtab vähem aega kui ükski eksperiment. Nelja asendit on lihtne silme ees hoida. Logifaili mitte.
Võrrelge iga transformi, mitte üht tuttavat nime
IKE-pakkumine on valikute kogum, mille kõik peavad klappima. Krüpteerimine kaitseb läbirääkimist, terviklikkus või PRF autendib seda, ja Diffie-Hellmani grupp loob värske võtmematerjali. Pakkumine, mis klapib kahel esimesel ja erineb kolmandal, on mõlemale poolele endiselt vastuvõetamatu.
Kaks Windowsi välja, mida siin segi aetakse, kuuluvad erinevatesse faasidesse. DHGroup kehtib IKE võtmevahetusele, PfsGroup aga liiklust kaitsvale tütarassotsiatsioonile. Teise muutmine ei paranda esimese ebaõnnestumist.
Grupinimed erinevad rakenduste vahel ja see on eraldi segaduseallikas. strongSwan kirjutab modp2048 ja ecp256, Windows aga kasutab loendinimesid nagu Group14 ja ECP256, nii et võrdlus peab enne võrdlemist tõlkima. Hoidke kahe veeruga märkust mõlema nimega. Siis kulub järgmise erinevuse liigitamiseks sekundeid.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
Rakendage üks täielik ja piiratud poliitika
Toetatud vahend päris IKEv2 profiili jaoks on ühendusepõhine IPsec-poliitika, mis seatakse ühe objektina, mitte välja haaval. Eelvaadake seda kõigepealt, seejärel rakendage, ja hoidke varasemad parameetrid muudatuse kirjes.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIfLüliti -WhatIf näitab kohalikku muudatust eelvaates ega rakenda midagi. See on kasulik ja ühtlasi tavaline lõks, sest eelvaade tõestab ainult seda, et parameetrid on kohaliku cmdleti jaoks süntaktiliselt vastuvõetavad. See ei ütle midagi selle kohta, kas lüüs saadud pakkumise vastu võtab.
Sobitage ühtlasi ulatus. Kõigi kasutajate hoidlas olev ühendus vajab vastavat kõigi kasutajate parameetrit, ja sama kuvatava nimega üksikkasutaja profiili muutmine muudab teist objekti, mida tunnel ei kasuta.
Seejärele viige strongSwan-i pool enne testimist samale kogumile. Mõlemas otsas koordineeritud muudatus on ainus selle versioon, mis koondub; ühe poole muutmine ja korduv uuesti proovimine annab logi, mis on täis sama keeldumist.
Kontrollige vahetust ja võtmeuuendust eraldi
Edukas ühendus on üks tähelepanek ja võtmeuuendus on teine. Esialgne IKE läbirääkimine kasutab üht parameetrite kogumit ja liiklust kandev tütarassotsiatsioon võib hiljem oma poliitikaga uuesti läbi räägitud saada. Seadistus, mis ühendub ja seejärel mõne aja pärast maha kukub, on tavaliselt teine juhtum.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *Esimene käsk näitab serveri vaadet loodud assotsiatsioonidele, sealhulgas tütar-SA ja selle järelejäänud eluiga. Teine näitab, mida kliendi profiil nüüd sisaldab, ja see on ainus viis kinnitada, et seatud poliitika on kehtiv poliitika.
Jälgige täielikku võtmeuuendust enne, kui edu välja kuulutate. See tähendab ühenduse piisavalt kaua ülal hoidmist, et tütarassotsiatsioon asendataks, ja seejärel kinnitamist, et liiklus jätkub. Enamik poliitika erinevusi peitub just selles sammus, sest esialgne läbirääkimine võib õnnestuda kogumiga, mida uuendus ei aktsepteeri.
Tagasipöördumine on varasem parameetrite kogum, mitte järeleandlik varuvariant. Kui klient pakkus ainult nõrka vana gruppi, on vastus parandada kliendi ja serveri ühist poliitikat, mitte lisada see grupp lüüsile, kuhu iga tulevane partner saab selle suunas alla läbi rääkida.
Märkige üles neli parameetrit, grupp, ühenduse ulatus ja võtmeuuenduse tulemus. See on lühike märge ja just see on vahe juhendi ning loo vahel sellest, kuidas tunnel kord üles tuli.