Windows eta strongSwan-en zifrak: egokitu geruza egokia

Bi muturrek AES-128 diote eta tunelak uko egiten dio eraikitzeari. CBC eta GCM transformazio desberdinak dira, gako-luzera bera partekatzen dute kasualitatez, eta bat eskaintzen duen bezeroak beste bakarrik onartzen duen atebidea ez du asetzen. AES hitzak familia bat deskribatzen du, ez akordio bat.

Bigarren ardatz bat ere badago, eta hark sortzen ditu errore nahasgarriak.

Bi geruza, bi zerrenda independente

IKEk negoziazioa bera babesten du, eta haur-elkarteak benetan axola zaizun trafikoa babesten du. Windowsek lehena enkriptatze-metodo eta osotasun-metodo gisa erakusten du, eta bigarrena zifratze- eta autentifikazio-transformazioen konstante gisa. Eremu horiek ez dira elkarren aliasak, eta batean baliozkoa den balioa bestean zentzugabea edo okerra izan daiteke. Profila bereizketa hori gogoan irakurtzeak nahasmenaren zati handiena kentzen du.

Ondorio praktikoa da guztiz onargarria den gako-truke politika bat eta parekoak onartuko ez duen datu-kanal politika bat izan ditzakezula. Zerrenda batek negoziatzen du; besteak paketeak babesten ditu. Lehenengo balio bat aldatzeak ez du eraginik bigarrenean, biak konfigurazio-elkarrizketa batean oso antzekoak diruditen arren.

Idatzi bi zerrendak atebidearekin alderatu aurretik. Memoriatik egindako alderaketa eremu bat bi aldiz editatu eta bestea inoiz ez editatzeko modua da. Eduki atebidearen kontsola profilaren ondoan irekita.

Irakurri errorea proposamenen ondoan

Huts egin duen etapak zer zerrenda aztertu behar duzun esaten dizu. Hasierako gako-trukean uko egitea IKE proposamenaren arazoa da, eta haur-elkarterik existitu aurretik gertatzen da. Trafiko babestuaren elkartea negoziatzen ari denean huts egitea ESP proposamenaren arazoa da, eta gako-trukeak jada arrakasta izan du. Bezeroaren politika-bat-etortze mezu orokorrak ez du etapa bietako bat ere izendatzen, horregatik atebidearen beraren ikuspegia da erabilgarria.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

Alderatu jasotako proposamena, konfiguratutako proposamena eta hautatutakoa saiakera bakar horretarako. Hiru zerrenda desberdin garrantzitsuak dira hemen, eta azkenak bakarrik deskribatzen du benetan erabili zena. Aipatu hitzez hitz txartelean, laburbildu beharrean.

Eduki CBC eta GCM alternatiba bereizi gisa

Bietako familia onartzea nahita baimenduta duen atebideak bi proposamen behar ditu, ez bat. strongSwanen koma batek alternatibak bereizten ditu, eta marratxo batek multzo bakarreko osagaiak lotzen ditu. Bi familiak marratxoekin konbinatzeak proposamen ezinezko bat sortzen du, bi onargarriren ordez.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

Lehen alternatibak enkriptatze autentifikatua darama eta oraindik funtzio pseudoausazko bat izendatzen du, gako-eratorpenak bat behar duelako osotasuna zifratzetik datorrenean ere. Bigarren alternatiba enkriptatze klasikoa da, osotasun-algoritmo bereiziarekin. Biak kargatutako kripto-inplementazioak onartzen duenaren mende jarraitzen dute.

ESP proposamena ez da berrizendatutako IKE proposamena

Zifra-tokena berdin-berdina dirudi bi zerrendetan, eta ia ezer ez da gainerakoan aldatzen. ESP proposamenak ez du gako-trukerako funtzio pseudoausazkorik, eta haren osotasun- eta aurreranzko-sekretu-baldintzak beste aldeko Windows politikaren aurka argudiatzen dira, IKE lerrotik kopiatu beharrean. Zerrenda bat besteera mekanikoki itzultzeak balioztatzen duen eta inoiz negoziatzen ez duen zerbait sortzen du.

Aukeratu norabide bat eta mantendu. Edo atebideak GCM soilik politika gordetzen du eta bezeroak bateragarria den politika osoa hedatzen du, edo atebideak bi familiak onartzen ditu eta bezeroak bere multzo existitzen dena gordetzen du. Segurtasun-politikak debekatzen duen erreserba bat gaitzea ez da konponbidea, errorea zenbat eta azkarrago garbitu ere.

Egiaztatu bi multzoak, gero gako-berritzea

Berretsi hautatutako gako-truke multzoa eta hautatutako trafiko multzoa bereizita, zerrenda desberdinetatik datozelako eta independenteki lortu dezaketelako arrakasta. Ondoren utzi gako-berritze bat gertatzen eta berretsi hura ere. Funtzionatzen duen lehen eskuko tratuak eta huts egiten duen gako-berritzeak partzialki onargarria den proposamen-multzo bat deskribatzen dute.

Gorde froga hori aldaketarekin batera. Etengabeko deskonexioak bere hutsegindako truke-erregistroa behar du norbaitek tenporizadore edo plataforma-akats bat errua bota aurretik.