Windows en strongSwan: de fjouwer transfoarmen fan in IKE-foarstel lyktsette

Beide partijen stypje AES, beide akseptearje SHA-256, en de tunnel komt dochs net omheech. It foarstel mislearre op in komponint dat nimmen ferlike hie, meastentiids de kaai-útwikselingsgroep. Dizze hantlieding lêst de werklike útwikseling foardat der wat feroaret, past ien beheind belied ta en lit in weromsette efter dat de eardere parameters werombringt.

Lês de mislearring foardat jo in groep feroarje

In „beliedsoerienkomstflater“ is in gearfetting, gjin diagnoaze. It betsjut dat der gjin foar beide kanten akseptabel foarstel fûn is, en it seit neat oer hokker komponint wegere waard. Behandelje it as it begjin fan it ûndersyk en net as bewiis oer in beskate groep.

It antwurd stiet meastentiids oan de serverkant. In strongSwan-log op in passend nivo listet it foarstel dat it fan de klant ûntfongen hat en it foarstel dat it konfigurearre is om te akseptearjen, en it ferskil tusken de beide listen neamt it komponint dat mislearre.

Nim net oan dat de klant biedt wat in âlder forumberjocht seit. It aktive profyl en syn ynstalleare belied bepale de beanliste, en in bywurke Windows-bou kin in oare set biede as dy yn de skermprint dy't jo kopiearje.

Skriuw beide listen op. Fjouwer transfoarmposysjes en ien groep is in koarte list, en dy rigel foar rigel ferlykje kostet minder tiid as hokker eksperimint ek. Fjouwer posysjes binne maklik yn byld te hâlden. In logbestân net.

Ferlykje elke transfoarm, net ien fertroud namme

In IKE-foarstel is in set karren dy't allegear lykje moatte. Fersifering beskermet de ûnderhanneling, yntegriteit of in PRF autentisearret dy, en in Diffie-Hellman-groep set fris kaaiproductmateriaal op. In foarstel dat op de earste twa lyket en op de tredde ferskilt, is noch altyd ûnakseptabel foar beide partijen.

De beide Windows-fjilden dy't hjir trochinoar helle wurde, hearje by ferskillende fazen. DHGroup jildt foar IKE-kaai-útwikseling, wylst PfsGroup jildt foar de bernassosjaasje dy't ferkear beskermet. It twadde feroarje kin in mislearring yn it earste net reparearje.

Groepsnammen ferskille tusken ymplemintaasjes, en dat is in aparte boarne fan betizing. strongSwan skriuwt modp2048 en ecp256, wylst Windows opsommingsnammen brûkt lykas Group14 en ECP256, dat in ferliking moat earst oersette foardat it ferlykje. Hâld in notysje yn twa kolommen mei beide nammen. Dan wurdt de folgjende ûnoerienkomst yn sekonden klassifisearre.

Pas ien folslein, beheind belied ta

It stipe ynstrumint foar in lânseigen IKEv2-profyl is in IPsec-belied per ferbining, ynsteld as ien objekt ynstee fan fjild foar fjild. Besjoch it earst, pas it dan ta, en bewarje de eardere parameters yn it feroaringsregister.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

De skeakel -WhatIf lit de lokale feroaring sjen en past neat ta. Dat is nuttich en it is ek in algemiene fal, om't in foarbyldbeoardieling allinne bewiist dat de parameters syntaktysk akseptabel binne foar it lokale cmdlet. It seit neat oer de fraach oft de poarte it resultearjende foarstel akseptearret.

Pas tagelyk ek it berik oan. In ferbining yn it argyf foar alle brûkers hat de oerienkommende parameter foar alle brûkers nedich, en it bewurkjen fan it profyl per brûker mei deselde werjefte namme feroaret in oar objekt dat de tunnel net brûkt.

Set dan foar it testen de strongSwan-kant op deselde set. In koördinearre feroaring oan beide einen is de iennige ferzje hjirfan dy't konvergearret; ien kant feroarje en hieltyd wer opnij besykje jout in log fol mei deselde wegering.

Kontrolearje de útwikseling en it kaai-ferfarskjen apart

In slagge ferbining is ien observaasje, en it kaai-ferfarskjen is in oare. De earste IKE-ûnderhanneling brûkt ien set parameters, en de bernassosjaasje dy't ferkear draacht kin letter opnij ûnderhannele wurde mei syn eigen belied. In opset dy't ferbynt en dan nei in skoft weifalt, is meastentiids it twadde gefal.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

It earste kommando lit de werjefte fan de server sjen fan de oprjochte assosjaasjes, ynklusyf de bern-SA en syn oerbleaune libbensdoer. It twadde lit sjen wat it klantprofyl no hat, en dat is de iennige manier om te befêstigjen dat it belied dat jo ynsteld hawwe it belied is dat jildt.

Besjoch in folslein kaai-ferfarskjen foardat jo sukses ferklearje. Dat betsjut de ferbining lang genôch omheech litte sadat de bernassosjaasje ferfongen wurdt, en dan befêstigje dat it ferkear trochgiet. De measte beliedsôfwikingen ferskûlje har yn dy stap, om't de earste ûnderhanneling slagje kin mei in set dy't it ferfarskjen net akseptearret.

Weromsette is de eardere parameterset, net in tolerante efterfalopsje. As de klant allinne in swak âlde groep bean hat, is it antwurd it mienskiplike belied fan klant en server te ferbetterjen, net dy groep oan de poarte ta te foegjen dêr't elke takomstige partner nei ta ôf-ûnderhannele kin.

Skriuw de fjouwer parameters, de groep, it berik fan de ferbining en it resultaat fan it kaai-ferfarskjen op. Dat is in koarte notysje, en it is it ferskil tusken in hantlieding en in ferhaal oer de kear dat de tunnel omheech kaam.