Windows ja strongSwan: IKE-ehdotuksen neljän transformin sovittaminen

Molemmat osapuolet tukevat AES:ää, molemmat hyväksyvät SHA-256:n, eikä tunneli silti nouse. Ehdotus epäonnistui komponentissa, jota kukaan ei vertaillut, yleensä avaintenvaihtoryhmässä. Tämä ohje lukee todellisen vaihdon ennen kuin mitään muutetaan, ottaa käyttöön yhden rajatun käytännön ja jättää palautuksen, joka palauttaa aiemmat parametrit.

Lue epäonnistuminen ennen kuin vaihdat ryhmää

„Käytäntöjen täsmäämättömyysvirhe“ on yhteenveto, ei diagnoosi. Se tarkoittaa, ettei molemmille hyväksyttävää ehdotusta löytynyt, eikä se kerro mitään siitä, mikä komponentti hylättiin. Käsittele sitä tutkinnan alkuna, älä todisteena tietystä ryhmästä.

Vastaus on yleensä palvelinpuolella. strongSwan-loki sopivalla tasolla luettelee asiakkaalta saadun ehdotuksen ja ehdotuksen, jonka hyväksymiseen se on määritetty, ja kahden listan ero nimeää epäonnistuneen komponentin.

Älä oleta, että asiakas tarjoaa sen, mitä vanha foorumiviesti väittää. Aktiivinen profiili ja sen asennettu käytäntö määräävät tarjotun listan, ja päivitetty Windows-versio voi tarjota eri joukon kuin se, joka on kuvakaappauksessa, jota kopioit.

Kirjoita molemmat listat muistiin. Neljä transformiasemaa ja yksi ryhmä on lyhyt lista, ja sen rivi riviltä vertaaminen vie vähemmän aikaa kuin mikään koe. Neljä asemaa on helppo pitää silmällä. Lokitiedostoa ei.

Vertaa jokaista transformia, älä yhtä tuttua nimeä

IKE-ehdotus on joukko valintoja, joiden kaikkien on täsmättävä. Salaus suojaa neuvottelun, eheys tai PRF todentaa sen, ja Diffie-Hellman-ryhmä luo tuoretta avainmateriaalia. Ehdotus, joka täsmää kahdessa ensimmäisessä ja eroaa kolmannessa, on molemmille osapuolille edelleen hyväksymätön.

Kaksi Windows-kenttää, jotka tässä sekoitetaan, kuuluvat eri vaiheisiin. DHGroup koskee IKE-avaintenvaihtoa, kun taas PfsGroup koskee liikennettä suojaavaa lapsiliitosta. Toisen muuttaminen ei korjaa ensimmäisen epäonnistumista.

Ryhmien nimet eroavat toteutusten välillä, ja se on erillinen hämmennyslähde. strongSwan kirjoittaa modp2048 ja ecp256, kun taas Windows käyttää luettelonimiä kuten Group14 ja ECP256, joten vertailun on käännettävä ennen vertaamista. Pidä kahden sarakkeen muistiinpanoa, jossa on molemmat nimet. Silloin seuraava ero luokitellaan sekunneissa.

Ota käyttöön yksi täydellinen ja rajattu käytäntö

Natiiviin IKEv2-profiiliin tuettu väline on yhteyskohtainen IPsec-käytäntö, joka asetetaan yhtenä objektina eikä kenttä kentältä. Esikatsele se ensin, ota sitten käyttöön ja säilytä aiemmat parametrit muutostietueessa.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Kytkin -WhatIf esikatselee paikallisen muutoksen eikä ota mitään käyttöön. Se on hyödyllistä ja samalla tavallinen ansa, sillä esikatselu todistaa vain, että parametrit ovat syntaktisesti hyväksyttäviä paikalliselle cmdlet-komennolle. Se ei kerro, hyväksyykö yhdyskäytävä syntyvän ehdotuksen.

Sovita samalla myös laajuus. Kaikkien käyttäjien varastossa oleva yhteys tarvitsee vastaavan kaikkien käyttäjien parametrin, ja samannimisen käyttäjäkohtaisen profiilin muokkaaminen muuttaa toista objektia, jota tunneli ei käytä.

Sovita sitten strongSwan-puoli samaan joukkoon ennen testausta. Molemmissa päissä koordinoitu muutos on ainoa versio tästä, joka suppenee; yhden puolen muuttaminen ja toistuva uudelleenyritys tuottaa lokin täynnä samaa hylkäystä.

Tarkista vaihto ja avainten uusinta erikseen

Onnistunut yhteys on yksi havainto ja avainten uusinta on toinen. Alkuperäinen IKE-neuvottelu käyttää yhtä parametrijoukkoa, ja liikennettä kantava lapsiliitos voidaan neuvotella myöhemmin uudelleen omalla käytännöllään. Asennus, joka yhdistää ja putoaa sitten jonkin ajan kuluttua, on yleensä toinen tapaus.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Ensimmäinen komento näyttää palvelimen näkymän muodostettuihin liitoksiin, mukaan lukien lapsi-SA ja sen jäljellä oleva elinikä. Toinen näyttää, mitä asiakasprofiilissa nyt on, ja vain siten voi vahvistaa, että asetettu käytäntö on voimassa oleva käytäntö.

Seuraa täysi avainten uusinta ennen kuin julistat onnistumisen. Se tarkoittaa yhteyden pitämistä ylhäällä riittävän kauan, jotta lapsiliitos korvataan, ja sitten vahvistamista, että liikenne jatkuu. Useimmat käytäntöjen erot piiloutuvat juuri tähän vaiheeseen, koska alkuperäinen neuvottelu voi onnistua joukolla, jota uusinta ei hyväksy.

Palautus on edellinen parametrijoukko, ei salliva varavaihtoehto. Jos asiakas tarjosi vain heikon vanhan ryhmän, vastaus on parantaa asiakkaan ja palvelimen yhteistä käytäntöä, ei lisätä sitä ryhmää yhdyskäytävään, jonne jokainen tuleva osapuoli voi neuvotella alas.

Kirjaa neljä parametria, ryhmä, yhteyden laajuus ja avainten uusinnan tulos. Se on lyhyt muistiinpano, ja se on ero ohjeen ja kertomuksen välillä siitä kerrasta, kun tunneli nousi.