Windows agus strongSwan: na ceithre chlaochlú in IKE a mheaitseáil

Tacaíonn an dá phiara le AES, glacann an bheirt le SHA-256, agus ní éiríonn an tollán fós. Theip ar an togra ar chomhpháirt nár chuir aon duine i gcomparáid, an grúpa um mhalartú eochrach de ghnáth. Léann an treoir seo an malartú iarbhír sula n-athraítear aon rud, cuireann sí polasaí amháin scópáilte i bhfeidhm agus fágann sí aischur a thugann na paraiméadair roimhe seo ar ais.

Léigh an teip sula n-athraíonn tú grúpa

Achoimre is ea «earráid mheaitseála polasaí», ní diagnóis. Ciallaíonn sé nár aimsíodh togra a bheadh inghlactha ag an dá thaobh, agus ní deir sé aon rud faoin gcomhpháirt ar diúltaíodh di. Caith leis mar thús an imscrúdaithe, ní mar fhianaise faoi ghrúpa áirithe.

Is ar thaobh an fhreastalaí a bhíonn an freagra de ghnáth. Liostaíonn logáil strongSwan ar leibhéal cuí an togra a fuair sé ón gcliant agus an togra atá cumraithe aige le glacadh, agus ainmníonn an difríocht idir an dá liosta an chomhpháirt ar theip uirthi.

Ná glac leis go dtairgeann an cliant an rud a deir seamphostáil fóraim. Is é an próifíl ghníomhach agus a pholasaí suiteáilte a shocraíonn an liosta a thairgtear, agus féadfaidh leagan Windows atá nuashonraithe tacar difriúil a thairiscint ón gceann sa scáileán atá á chóipeáil agat.

Scríobh an dá liosta síos. Ceithre shuíomh claochlaithe agus grúpa amháin is liosta gairid é, agus tógann a chur i gcomparáid líne ar líne níos lú ama ná aon turgnamh. Is furasta ceithre shuíomh a choinneáil i bhfianaise. Ní hea comhad logála.

Déan comparáid idir gach claochlú, ní idir aon ainm amháin a bhfuil taithí agat air

Sraith roghanna is ea togra IKE nach mór a bheith ag teacht le chéile ar fad. Cosnaíonn criptiú an chaibidlíochta, déanann sláine nó PRF bailíochtú uirthi, agus cruthaíonn grúpa Diffie-Hellman ábhar eochrach úr. Tá togra a thagann leis an gcéad dá cheann agus a dhifríonn ar an tríú ceann fós do-ghlactha ag an dá phiara.

Baineann an dá réimse Windows a mhearbhalltar anseo le chéimeanna difriúla. Baineann DHGroup le malartú eochrach IKE, agus baineann PfsGroup leis an gcomhlachas linbh a chosnaíonn an trácht. Ní féidir an dara ceann a athrú chun teip sa chéad cheann a réiteach.

Tá ainmneacha grúpaí difriúil idir cur i bhfeidhm, agus is foinse mhearbhaill ar leith é sin. Scríobhann strongSwan modp2048 agus ecp256, agus úsáideann Windows ainmneacha áirimh ar nós Group14 agus ECP256, mar sin caithfidh comparáid aistriú sula ndéanann sí comparáid. Coinnigh nóta dhá cholún leis an dá ainm. Ansin déantar an chéad mhíréir eile a aicmiú ina soicindí.

Cuir polasaí amháin iomlán agus scópáilte i bhfeidhm

Is é an uirlis atá tacaíochtithe do phróifíl dhúchasach IKEv2 ná polasaí IPsec in aghaidh an naisc, socraithe mar aon réad seachas réimse ar réimse. Réamhamharc é ar dtús, ansin cuir i bhfeidhm é, agus coinnigh na paraiméadair roimhe seo sa taifead athraithe.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Déanann an lasc -WhatIf réamhamharc ar an athrú áitiúil agus ní chuireann sé aon rud i bhfeidhm. Tá sé sin úsáideach agus is gaiste coitianta é freisin, mar ní chruthaíonn réamhamharc ach go bhfuil na paraiméadair inghlactha go comhréireach don cmdlet áitiúil. Ní deir sé aon rud faoi cé acu a ghlacfaidh an geata leis an togra a eascraíonn as.

Meaitseáil an scóip freisin agus tú ann. Teastaíonn an pharaiméadar chomhfhreagrach do gach úsáideoir ó nasc sa stór do gach úsáideoir, agus athraíonn eagarthóireacht an phróifíl in aghaidh an úsáideora leis an ainm taispeána céanna réad eile nach n-úsáideann an tollán.

Ansin socraigh taobh strongSwan ar an tacar céanna sula ndéantar tástáil. Is é athrú comhordaithe ar an dá cheann an t-aon leagan díobh seo a thagann le chéile; má athraítear aon taobh amháin agus má dhéantar iarracht arís agus arís eile, cruthaítear logáil atá lán den diúltú céanna.

Fíoraigh an malartú agus an t-athnuachan eochrach ar leithligh

Is breathnóireacht amháin é nasc rathúil, agus is breathnóireacht eile é an t-athnuachan eochrach. Úsáideann caibidlíocht IKE tosaigh aon tacar paraiméadar, agus is féidir an comhlachas linbh a iompraíonn trácht a athchaibidliú níos déanaí lena pholasaí féin. Is é an dara cás de ghnáth socrú a nascann agus a thiteann tar éis tamaill.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Taispeánann an chéad ordú dearcadh an fhreastalaí ar na comhlachais atá bunaithe, lena n-áirítear an SA linbh agus a shaolré atá fágtha. Taispeánann an dara ceann an méid atá ag próifíl an chliaint anois, agus is é sin an t-aon bhealach chun a dheimhniú gurb é an polasaí a shocraigh tú an polasaí atá i bhfeidhm.

Breathnaigh ar athnuachan eochrach iomlán sula ndearbhaíonn tú rath. Ciallaíonn sé sin an nasc a fhágáil suas fada go leor chun an comhlachas linbh a mhalartú, agus ansin a dheimhniú go leanann an trácht. Téann an chuid is mó de na míréir pholasaí i bhfolach sa chéim sin, mar is féidir leis an gcaibidlíocht tosaigh éirí le tacar nach nglacann an athnuachan leis.

Is é an tacar paraiméadar roimhe seo an t-aischur, ní cúlú ceadaitheach. Má thairg an cliant ach grúpa sean-lag, is é an freagra an polasaí comhchoiteann idir an cliant agus an freastalaí a fheabhsú, ní an grúpa sin a chur leis an ngeata áit a bhféadfaidh gach piara amach anseo caibidliú síos chuige.

Taifead na ceithre pharaiméadar, an grúpa, scóip an naisc agus toradh an athnuachana eochrach. Is nóta gairid é sin, agus is é sin an difríocht idir treoir agus scéal faoin uair a d’éirigh an tollán.