Windows e strongSwan: emparellar as catro transformacións dunha proposta IKE

Os dous pares admiten AES, ambos aceptan SHA-256 e, aínda así, o túnel non levántase. A proposta fallou nun compoñente que ninguén comparou, normalmente o grupo de intercambio de claves. Esta guía le o intercambio real antes de cambiar nada, aplica unha soa política acoutada e deixa unha reversión que restaura os parámetros anteriores.

Lea o fallo antes de cambiar un grupo

Un «erro de coincidencia de política» é un resumo, non un diagnóstico. Significa que non se atopou ningunha proposta aceptable para ambos e non di nada sobre que compoñente se rexeitou. Tráteo como o inicio da investigación e non como proba sobre un grupo concreto.

A resposta adoita estar do lado do servidor. Un rexistro de strongSwan nun nivel axeitado enumera a proposta que recibiu do cliente e a proposta que está configurado para aceptar, e a diferenza entre ambas as listas nomea o compoñente que fallou.

Non supoña que o cliente ofrece o que di unha publicación antiga do foro. O perfil activo e a súa política instalada deciden a lista ofrecida, e unha compilación de Windows actualizada pode ofrecer un conxunto distinto do da captura de pantalla que está copiando.

Escriba ambas as listas. Catro posicións de transformación e un grupo son unha lista curta, e comparala liña por liña leva menos tempo que calquera experimento. Catro posicións retéñense con facilidade. Un ficheiro de rexistro non.

Compare cada transformación, non un só nome coñecido

Unha proposta IKE é un conxunto de eleccións que deben coincidir todas. A cifraxe protexe a negociación, a integridade ou un PRF autentícaa, e un grupo Diffie-Hellman establece material de clave novo. Unha proposta que coincide nas dúas primeiras e difire na terceira segue sendo inaceptable para ambos os pares.

Os dous campos de Windows que aquí se confunden pertencen a fases distintas. DHGroup aplícase ao intercambio de claves IKE, mentres que PfsGroup se aplica á asociación filla que protexe o tráfico. Cambiar o segundo non pode reparar un fallo no primeiro.

Os nomes de grupo difiren entre implementacións, e iso é outra fonte de confusión. strongSwan escribe modp2048 e ecp256, mentres que Windows usa nomes de enumeración como Group14 e ECP256, así que unha comparación ten que traducir antes de comparar. Manteña unha nota de dúas columnas con ambos nomes. A seguinte discrepancia clasifícase entón en segundos.

Aplique unha política completa e acoutada

O instrumento admitido para un perfil IKEv2 nativo é unha política IPsec por conexión, definida como un só obxecto en lugar de campo por campo. Previsualícea primeiro, aplíquea despois e conserve os parámetros anteriores no rexistro de cambios.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

O conmutador -WhatIf previsualiza o cambio local e non aplica nada. Iso é útil e tamén é unha trampa habitual, porque unha previsualización só demostra que os parámetros son sintacticamente aceptables para o cmdlet local. Non di nada sobre se a pasarela aceptará a proposta resultante.

De paso, axuste tamén o ámbito. Unha conexión no almacén de todos os usuarios necesita o parámetro correspondente de todos os usuarios, e editar o perfil por usuario co mesmo nome para mostrar cambia outro obxecto que o túnel non usa.

Despois axuste o lado strongSwan ao mesmo conxunto antes de probar. Un cambio coordinado en ambos os extremos é a única versión disto que converxe; cambiar un lado e reintentar unha e outra vez produce un rexistro cheo do mesmo rexeitamento.

Verifique o intercambio e a renovación de claves por separado

Unha conexión correcta é unha observación, e a renovación de claves é outra. A negociación IKE inicial usa un conxunto de parámetros, e a asociación filla que transporta o tráfico pode renegociarse máis adiante coa súa propia política. Unha instalación que conecta e logo cae ao cabo dun intre adoita ser o segundo caso.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

O primeiro comando mostra a visión do servidor das asociacións establecidas, incluída a SA filla e a súa vida restante. O segundo mostra o que o perfil do cliente ten agora, e é a única forma de confirmar que a política que definiu é a política vixente.

Observe unha renovación de claves completa antes de declarar o éxito. Iso significa deixar a conexión activa o tempo suficiente para que se substitúa a asociación filla e despois confirmar que o tráfico continúa. A maioría das discrepancias de política agóchanse nese paso, porque a negociación inicial pode ter éxito cun conxunto que a renovación non acepta.

A reversión é o conxunto de parámetros anterior, non un repliegue permisivo. Se o cliente só ofrecía un grupo antigo e feble, a resposta é mellorar a política común do cliente e o servidor, non engadir ese grupo á pasarela onde calquera par futuro poderá negociar á baixa ata el.

Anote os catro parámetros, o grupo, o ámbito da conexión e o resultado da renovación. É unha nota curta, e é a diferenza entre unha guía e unha historia sobre o día en que o túnel levantou.