IKEv2 NO_PROPOSAL_CHOSEN: zein etapetan baztertu zen multzoa?

Erregistro batean NO_PROPOSAL_CHOSEN ikusteak jendea aurrez partekatutako gakora bidaltzen du, eta erroreak aldaketa hori gainditzen du. Ez zen inoiz kredentzialen arazoa izan: parekoak trukaketa hartarako eskainitako proposamen guztiak baztertu zituen, eta hori algoritmoei buruzko baieztapena da, ez identitateari buruzkoa. Lehen galdera erabilgarria ez da zein algoritmo editatu, baizik eta zein trukaketa baztertu zen. Erantzun hori edozer alderatu aurretik. Gero alderatu eskainitako multzo osoa parekoak baimendutako multzo osoarekin.

Lehenik: zein trukaketa baztertu zen

IKEv2-k bi elkarte mota negoziatzen ditu. IKE SA-k negoziazioa bera babesten du, eta CHILD SA-k trafikoa babesten du. Bakoitzak bere proposamen-multzoa du, eta bakoitzak jakinarazpen berarekin huts egin dezake. Hasierako IKE negoziazioan emandako baztertzeak eta CHILD negoziazioan emandakoak konponketa desberdinak behar dituzte, eta erregistroak normalean trukaketaren izena jakinarazpenaren gaineko lerro bat edo bi gorago ematen du. Irakurri bi lerro horiek elkarrekin, bestela proposamen-zerrenda okerra editatu gero.

Jakinarazpenak bakarrik ez du trukaketa identifikatzen. Horren gaineko lerroak negoziatzen ari den SA izendatzen du, eta izen horrek aztertu beharreko proposamen-zerrendara eramaten du.

Alderatu multzo osoak, ez gako-hitz solteak

Proposamen bat konbinazioa da: zifratze-algoritmoa, osotasuna edo AEAD, gako-trukerako taldea eta edozein funtzio sasirandom. Zifratzearen izena soilik alderatzea ohiko akatsa da, bi parekoek AES-256-n ados daitezkeelako eta oraindik SHA-1 eta SHA-256 desberdindu. Idatzi eskainitako eta baimendutako multzoak elkarren ondoan huts egin zuen etaparen aurrean, eta gero bilatu ebakidura hutsa.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Egiaztatu ere bi inplementazioek konfiguratu duzuna onartzen dutela. Beste plataforma batetik kopiatutako izen bat sintaktikoki ezaguna eman dezake plugin edo inplementazioa erabat falta den bitartean.

IKE multzoa eta ESP multzoa objektu desberdinak dira

IKE proposamena editatzeak ez du baztertutako CHILD proposamena konponduko, eta alderantziz ere bai. strongSwan-en ezarpen bereiziak dira, gutxi gorabehera proposals = aes256-sha256-modp2048 IKE SA-rako eta ESP zerrenda bereizia CHILD SA-rako. Aldatu huts egin zuen trukaketari dagokion zerrenda, eta gero irakurri berriro erregistroa konponketa funtzionatu zuela suposatu gabe.

CHILD SA-rako, ezarpen garrantzitsua ESP proposamen-zerrenda da, ez IKE zerrenda. IKE lerroa bertara kopiatzeak parseatzen den baina objektu okerra negoziatzen duen konfigurazioa sortzen du.

Funtzionatzen duen tunela, gako-berritzean huts egiten duena

Tunela ordubetez aritu eta gero huts egin bazuen, hasierako negoziazioa ez da arazoa. Gako-berritzeak beste baldintza batzuk probatu ditzake: lehen trukaketaren ondoren gako-trukerako talde desberdina, parekoen arteko bizitzaren desadostasuna edo erantzulearen politika aldatua. Gorde berritzearen data-marka eta elkarte-identifikatzaileak bi aldeetatik. Eredu horrek proposamenen alderaketa behar du berritzean, ez itxaronaldi luzeagoa. Itxaronaldi-aldaketak sintoma ezkutatzen du eta desadostasuna bertan uzten du.

ipsec statusall elkarte bakoitza eta benetan negoziatutako algoritmoak erakusten ditu. Irteera hori zerrenda zein erabili zen baieztatzeko biderik azkarrena da, eta konfigurazio-errorea inoiz berriro negoziatu ez zen tunel zaharraretik bereizten du.

ipsec statusall | grep -E "IKE:|ESP:"

Aukeratu ebakidura bat eta gero egiaztatu bi faseak

Eskatu administratzaileari bi parekoek onartzen duten ebakidura moderno dokumentatu bat aukeratzeko eta idatz dezala. Ez konpondu errorea algoritmo zahar guztiak gaituta edo identitatearen egiaztapena desgaituta, baztertze batetik ez baitator horietako bat ere. Aldaketaren ondoren, ezarri konexio berri bat eta gero behartu gako-berritze bat. Lehen konexioak bakarrik ez du frogatzen berritze-bidea funtzionatzen duenik.

Gorde onartutako konbinazioa firmware bertsioekin batera. Hurrengo errorea trafiko-hautatzaileei buruzkoa bada, tratatu bereizita, kriptografiaren inguruko adostasunak ez baitu ezer esaten tunelak zein azpisare babesten dituen. strongSwanen proposamen dokumentazioa bi zerrenden sintaxia estaltzen du.