Sifrí Windows agus strongSwan: déan an ciseal ceart a mheaitseáil

Deir an dá cheann AES-128 agus diúltaíonn an tollán fós a bheith tógtha. Is claochluithe éagsúla iad CBC agus GCM a roinneann fad eochrach trí chomhtharlú, agus ní shásaíonn cliant a thairgeann ceann acu geata nach nglacann ach leis an gceann eile. Cuireann an focal AES síos ar theaghlach, ní ar chomhaontú.

Tá an dara ais ann freisin, agus is í sin a tháirgeann na hearráidí mearbhallacha.

Dhá chiseal, dhá liosta neamhspleácha

Cosnaíonn IKE an chaibidlíocht féin, agus cosnaíonn an chomhlachas linbh an trácht a bhfuil tú i ndáiríre ag iarraidh. Nochtann Windows an chéad cheann mar mhodh criptithe agus mar mhodh sláine, agus an dara ceann mar thairisigh chlaochlaithe sifre agus fíordheimhnithe. Ní haliúisí ar a chéile iad na réimsí sin, agus féadfaidh luach atá bailí i gceann acu a bheith gan chiall nó mícheart sa cheann eile. Má léann tú an phróifíl leis an scoilteadh sin i do cheann, bainfear an chuid is mó den mhearbhall.

Is é an toradh praiticiúil ná gur féidir leat polasaí malartaithe eochracha atá go hiomlán inghlactha a bheith agat agus polasaí cainéil sonraí nach nglacfaidh an piaraí leis. Déanann liosta amháin caibidlíocht; cosnaíonn an ceann eile paicéid. Ní bhíonn aon éifeacht ag athrú luacha sa chéad cheann ar an dara ceann, cibé chomh cosúil is atá an dá cheann i dialóg chumraíochta.

Scríobh an dá liosta síos sula gcuireann tú i gcomparáid iad leis an ngeata. Is é an chomparáid ó chuimhne an bealach a n-athraítear réimse amháin faoi dhó agus an ceann eile riamh. Coinnigh consól an gheata oscailte taobh leis an bpróifíl.

Léigh an earráid taobh leis na tograí

Insíonn an chéim ar theip uirthi duit cé acu liosta ba chóir duit scrúdú. Is fadhb togra IKE é diúltú le linn an mhalartaithe eochracha tosaigh, agus tarlaíonn sé sula mbeidh aon chomhlachas linbh ann. Is fadhb togra ESP é teip agus an comhlachas tráchta cosanta á chaibidliú, agus d'éirigh leis an malartú eochracha cheana féin. Ní luann teachtaireacht ghinearálta meaitseála polasaí ón gcliant ceachtar den dá chéim, agus is ar an gcúis sin gurb é radharc an gheata féin an ceann úsáideach.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

Déan comparáid idir an togra a fuarthas, an togra atá cumraithe agus an ceann a roghnaíodh don iarracht aonair sin. Tá tábhacht le trí liosta éagsúla anseo, agus ní chuireann ach an ceann deireanach síos ar an méid a úsáideadh i ndáiríre. Luaigh go díreach sa ticéad é seachas achoimre a dhéanamh air.

Coinnigh CBC agus GCM mar roghanna ar leith

Teastaíonn dhá thogra, ní ceann amháin, ó gheata a bhfuil cead deonaithe go feasach dó glacadh le ceachtar teaghlach. I strongSwan scarann camóg roghanna, agus nascann fleiscín comhpháirteanna aon tacair amháin. Má chomhcheanglaítear an dá theaghlach le fleiscíní, cruthaítear togra amháin dodhéanta seachas dhá cheann inghlactha.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

Iompraíonn an chéad rogha criptiú fíordheimhnithe agus ainmníonn sí feidhm shiúdghineach fós, mar teastaíonn ceann ó dhíorthú eochrach fiú nuair a thagann sláine ón sifre. Is criptiú clasaiceach é an dara rogha le halgartam sláine ar leith. Fanann an dá cheann faoi réir an méid a thacaíonn an t-ionchur cripte atá luchtaithe leis.

Ní togra IKE athainmnithe é togra ESP

Féachann comhartha an tsifre chomh hiomlán céanna sa dá liosta, agus ní tharchuirtear beagnach aon rud eile. Níl aon fheidhm shiúdghineach malartaithe eochracha ag togra ESP, agus déantar a chuid ceanglas sláine agus rúndachta ar aghaidh a mhíniú i gcoinne pholasaí Windows ar an taobh eile seachas iad a chóipeáil ón líne IKE. Má aistrítear liosta amháin go dtí an ceann eile go meicniúil, cruthaítear rud a dhéanann bailíochtú agus nach ndéanann caibidlíocht choíche.

Roghnaigh treo agus fan ann. Bíodh an geata ag coinneáil polasaí GCM amháin agus an cliant ag imscaradh polasaí comhoiriúnach iomlán, nó bíodh an geata ag glacadh leis an dá theaghlach agus an cliant ag coinneáil a thacar reatha. Ní socrú é cúlrogha a chumasú a chuireann an polasaí slándála cosc air, cibé chomh tapa is a ghlanann sé an earráid.

Fíoraigh an dá thacar, ansin eochair-athnuachan

Deimhnigh an tacar malartaithe eochracha roghnaithe agus an tacar tráchta roghnaithe ar leith, mar tagann siad ó liostaí éagsúla agus féadann siad éirí leo go neamhspleách. Ansin lig d'eochair-athnuachan tarlú agus deimhnigh sin freisin. Cuireann an chéad chrith láimhe a oibríonn agus eochair-athnuachan a theipeann síos ar thacar tograí nach bhfuil ach go páirteach inghlactha.

Coinnigh an fhianaise sin leis an athrú. Teastaíonn a thaifead teipe malartaithe féin ó dhícheangal athfhillteach sula gcuireann duine an milleán ar amadóir nó ar locht ardáin.