Cad a théann isteach i dtogra IPsec? Réimsí IKE agus ESP

Tosaíonn IKE, fógraíonn an dá phiara AES, agus teipeann ar an tollán fós le NO_PROPOSAL_CHOSEN. Ainmníonn an logáil an togra ach ní an réimse nár oibrigh. Is tairiscint iomlán amháin é togra, agus cuireann aon réimse amháin atá neamh-chomhoiriúnach an chomhcheangal ar fad ar neamhní seachas an líne sin amháin. Is é a léamh mar mhála roghanna algartaim neamhspleácha an chúis is gnách a bhíonn an mífhreagras dofheicthe.

Dhá chaibidlíocht le liostaí tograí ar leith

Tógann IKEv2 dhá chomhlachas slándála. Is é an chéad cheann an IKE SA, a chosnaíonn an mhalartú rialaithe féin, agus is é an dara ceann an CHILD SA, a iompraíonn do thrácht trí ESP. Tá a liosta tograí féin ag gach ceann, agus féadann piara glacadh le ceann amháin agus an ceann eile a dhiúltú.

Míníonn an scaradh sin mearbhall coitianta: ní chruthaíonn IKE SA atá ag obair ach go raibh algartaim an chainéil rialaithe ag teacht le chéile. Má theipeann ar an togra CHILD, ní iompraíonn an tollán aon phaicéad, cé go bhfuil an chéad chéim críochnaithe agus na logaí go maith ag an mbarr.

Tá tábhacht leis an ordú laistigh de gach liosta freisin. Roghnaíonn an freagróir ó thairiscintí ordaithe an tionscnóra, mar sin má aistríonn tú iontráil atá comhoiriúnach go leathan os cionn ceann cúng athraíonn sé an tsraith a shuiteáiltear gan aon ainm algartaim a athrú. Daingnigh an t-ordú sin sa chumraíocht seachas brath ar na réamhshocruithe. Déanann ordú cobhsaí comparáid logaí idir suíomhanna luachmhar freisin.

Cé na réimsí a bhaineann le cé acu togra

Tá an tsraith réimsí beag, ach níl sí comhionann sa dá chaibidlíocht. Léigh an tábla as a chéile, mar go bhféadfadh réimse i gcolún amháin a bheith in easnamh sa cholún eile. Athraíonn an chomhréir de réir an fhorfheidhmithe; doiciméadú tograí strongSwan is tagairt nithiúil amháin é.

Ainmníonn an réimse criptithe an tsifir agus, i bhformhór na gcomhréirí, a fhad eochrach. Ainmníonn an réimse sláine an hais a úsáidtear chun an téacs criptithe a fhíordheimhniú, agus ainmníonn an PRF an fheidhm a dhíorthaíonn ábhar eochrach don IKE SA. Bunaíonn an ghrúpa DH ábhar rúnda comhroinnte úr, agus is é sin an fáth a bhfuil sé le feiceáil ar an dá thaobh ach chun críocha éagsúla.

Ní bhaineann uimhreacha seicheamh leathnaithe ach leis an gcosán sonraí. Leathnaíonn siad an spás seicheamh agus déantar iad a chaibidliú mar chuid den togra CHILD, mar sin diúltaíonn mífhreagras ansin do thairiscint CHILD agus fágtar an IKE SA gan teagmháil.

Conas a roghnaítear tairiscint iomlán amháin

Is sraith é gach togra, agus féachann an freagróir le sraith ina bhfuil gach réimse riachtanach inghlactha. Féadann dhá liosta AES agus SHA-256 a bheith iontu araon agus fós gan aon iontráil chomhoiriúnach a bheith acu, toisc go bhfuil an fhad eochrach, an PRF nó an ghrúpa DH difriúil. Déantar an chomparáid de réir togra, ní de réir algartaim.

Nuair nach n-oireann aon rud, seolann an freagróir NO_PROPOSAL_CHOSEN leis an gcineál SA ar theip air. Léigh cén liosta tograí a mbaineann an fógra leis sula n-athraíonn tú an chumraíocht; cuireann athrú algartaim ESP nuair a diúltaíodh don togra IKE timthriall dífhabhtaithe amú.

Is fiú eolas a bheith agat ar an iompar roghnaithe nuair a thúin tú próifíl. Is fearr le roinnt forfheidhmithe ordú an tionscnóra, athordaíonn cinn eile de réir beartais áitiúil, mar sin féadann sraith a oibríonn idir dhá sholáthraí imeacht nuair a aisionpraíonn tú cé acu taobh a thosaíonn an nasc.

Baineann AEAD réimse amach seachas ceann a chur leis

Fíordheimhníonn AES-GCM agus ChaCha20-Poly1305 agus criptíonn siad in aon oibríocht amháin. Nuair a roghnaítear ceachtar acu le haghaidh ESP, ní chaibidlítear an t-algartam sláine ar leithligh, toisc go gclúdaíonn an tógáil AEAD cheana féin é. Dá bhrí sin tá togra a nascann AES-GCM le SHA-256 iomarcach ar a laghad agus diúltaithe ar a mhéad.

Fanann an PRF ar leithligh ar thaobh IKE, ós rud é go ndíorthaíonn sé eochracha don chainéal rialaithe seachas ualaí a chosaint. Sin an fáth gur féidir le togra IKE sifir AEAD a chomhcheangal go dleathach le PRF agus grúpa DH, agus gan ach an tsifir AEAD agus an ghrúpa PFS roghnach a liostú sa togra ESP comhfhreagrach.

Tá an fhad eochrach mar chuid den chomhartha criptithe, mar sin is tairiscintí éagsúla iad AES-128-GCM agus AES-256-GCM. Ní thagann próifíl a cóipeáladh ó threoir a ghlac le heochracha 256-bit le críochphointe atá cumraithe do 128-bit, cé go ndeir an dá líne AES-GCM. Is féidir le dhá phiara teacht ar chomhaontú faoin teaghlach sifir agus fós diúltú dá chéile mar gheall ar an uimhir tar éis an fhleiscín.

Léigh an SA suiteáilte, ní an chumraíocht

Is tairiscint í an liosta tograí atá cumraithe; is é an SA suiteáilte an toradh. Ar strongSwan agus ar eithne Linux, tá an dá radharc ar fáil:

sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policy

swanctl --list-sas priontálann sé na halgartaim a caibidlíodh in aghaidh an SA, lena n-áirítear an n-úsáideann an CHILD AEAD. ip xfrm state taispeánann sé cad a shuiteáil an eithne i ndáiríre, agus is ansin a dhearbhaítear nár thit athnuachan eochrach ar ais ar shraith dhifriúil ón gceann a dhoiciméadaigh tú.

Sábháil an t-aschur sin in aice leis an gcumraíocht tar éis ceartúcháin. Nuair a athraíonn nuashonrú cliaint a réamhshocruithe, tugann an tsraith thaifeadta bunlíne duit le comparáid a dhéanamh, agus díríonn an chomparáid ar an réimse a bhog seachas an t-imscrúdú a atosú ón tús.