Windows eta strongSwan: IKE proposamen baten lau transformazioak parekatzea

Bi pareek AES onartzen dute, biek SHA-256 onartzen dute, eta tuneleak ez du gora egiten. Proposamenak huts egin zuen inork konparatu ez zuen osagai batean, normalean gako-trukerako taldean. Gida honek benetako trukea irakurtzen du ezer aldatu aurretik, politika mugatu bakarra aplikatzen du eta aurreko parametroak berrezartzen dituen atzera-egite bat uzten du.

Irakurri hutsegitea talde bat aldatu aurretik

«Politikaren bat-etortze errore» bat laburpena da, ez diagnosia. Proposamen elkarrekiko onargarririk aurkitu ez zela esan nahi du, eta ez du ezer esaten zein osagai baztertu zen. Ikustatu ikerketaren hasiera gisa, ez talde jakin bati buruzko froga gisa.

Erantzuna zerbitzariaren aldean egoten da normalean. strongSwan erregistro batek maila egokian zerrendatzen ditu bezeroarengandik jaso zuen proposamena eta onartzeko konfiguratuta dagoen proposamena, eta bi zerrenden arteko diferentziak huts egin zuen osagaia izendatzen du.

Ez suposatu bezeroak foroko mezu zahar batek dioena eskaintzen duenik. Profil aktiboak eta haren politika instalatuak erabakitzen dute eskaintzen den zerrenda, eta eguneratutako Windows bertsio batek kopiatzen ari zaren pantaila-argazkikoaz bestelako multzo bat eskain dezake.

Idatzi bi zerrendak. Lau transformazio-posizio eta talde bat zerrenda laburra dira, eta lerroz lerro konparatzeak edozein esperimentuk baino denbora gutxiago hartzen du. Lau posizio erraz mantentzen dira ikusmenean. Erregistro-fitxategi bat ez.

Konparatu transformazio bakoitza, izen ezagun bat ez

IKE proposamen bat guztiek bat etorri behar duten aukeren multzo bat da. Zifratzeak negoziazioa babesten du, osotasunak edo PRF batek hura autentikatzen du, eta Diffie-Hellman talde batek gako-material berria ezartzen du. Lehen biretan bat datorren eta hirugarrenean desberdintzen den proposamen bat onartezina da oraindik bi pareentzat.

Hemen nahasten diren Windows eremu biak fase desberdinetakoak dira. DHGroup IKE gako-trukean aplikatzen da, eta PfsGroup, berriz, trafikoa babesten duen seme-elkartean. Bigarrena aldatzeak ezin du lehenengoko hutsegitea konpondu.

Talde-izenak desberdinak dira inplementazioen artean, eta hori nahaste-iturri bereizi bat da. strongSwanek modp2048 eta ecp256 idazten ditu, eta Windowsek Group14 eta ECP256 bezalako zenbaketa-izenak erabiltzen ditu, beraz konparazioak itzuli egin behar du konparatu aurretik. Eduki bi zutabeko ohar bat bi izenekin. Orduan hurrengo desadostasuna segundo gutxitan sailkatzen da.

Aplikatu politika oso eta mugatu bakarra

IKEv2 profil natiborako onartutako tresna konexio bakoitzeko IPsec politika da, objektu bakar gisa ezarria, eremu batetik bestera ibili beharrean. Aurreikusi lehenik, gero aplikatu, eta gorde aurreko parametroak aldaketaren erregistroan.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

-WhatIf etengailuak tokiko aldaketa aurreikusten du eta ez du ezer aplikatzen. Hori erabilgarria da eta, aldi berean, tranpa arrunta da, aurreikuspenak tokiko cmdletarentzat parametroak sintaktikoki onargarriak direla baino ez baitu frogatzen. Ez du ezer esaten pasabideak lortutako proposamena onartuko duen ala ez.

Eskumenera ere doitzean, egokitu irismena. Erabiltzaile guztien biltegiko konexio batek erabiltzaile guztien parametro egokia behar du, eta bistaratzeko izen bera duen erabiltzaile bakarreko profila editatzeak tuneleak erabiltzen ez duen beste objektu bat aldatzen du.

Gero, probatu aurretik, doitzean strongSwanen aldea multzo berera. Bi muturretan koordinatutako aldaketa da honen bertsio konbergente bakarra; alde bat aldatzeak eta behin eta berriro berriro saiatzeak bazterketa berberaz betetako erregistroa sortzen du.

Egiaztatu trukea eta gako-berritzea bereizita

Konexio arrakastatsu bat behaketa bat da, eta gako-berritzea beste bat. Hasierako IKE negoziazioak parametro-multzo bat erabiltzen du, eta trafikoa daraman seme-elkartea geroago berriz negozia daiteke bere politika propioarekin. Konektatu eta handik denbora batera erortzen den ezarpena bigarren kasua izaten da normalean.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Lehen komandoak zerbitzariak ezarritako elkarteei buruz duen ikuspegia erakusten du, tartean seme SA eta haren gainerako bizitza. Bigarrenak bezeroaren profilek orain duena erakusten du, eta hori da ezarri duzun politika indarrean dagoen politika dela baieztatzeko modu bakarra.

Behaketu gako-berritze oso bat arrakasta aitortu aurretik. Hori konexioa nahikoa denbora altxatuta uztea da, seme-elkartea ordezkatu dadin, eta gero trafikoak jarraitzen duela baieztatzea. Politikaren desadostasun gehienak urrats horretan ezkutatzen dira, hasierako negoziazioak berritzeak onartzen ez duen multzo batekin arrakasta izan baitezake.

Atzera-egitea aurreko parametro-multzoa da, ez atzera-egite permisibo bat. Bezeroak talde zahar ahul bat soilik eskaini bazuen, erantzuna bezeroaren eta zerbitzariaren politika komuna hobetzea da, ez talde hori pasabidera gehitzea, etorkizuneko pare orok hara behera negozia dezan.

Idatz itzazu lau parametroak, taldea, konexioaren irismena eta gako-berritzearen emaitza. Ohar labur bat da, eta hori da gida baten eta tunelea noizbait gora egin zeneko istorio baten arteko aldea.