IKEv2 NO_PROPOSAL_CHOSEN: wane mataki ya ƙi saitin?

NO_PROPOSAL_CHOSEN a cikin log yana tura mutane zuwa maɓallin da aka riga aka raba, kuma kuskuren yana wanzuwa bayan canjin. Ba wata matsala ce ta bayanan shiga ba: ƙwararren ya ƙi duk shawarar da aka bayar don wannan musayar, wanda magana ce game da algorithms ba game da asali ba. Tambaya ta farko mai amfani ba wace algorithm za a gyara ba ce, amma wace musayar aka ƙi. Amsa hakan kafin kwatanta komai. Sannan ka kwatanta cikakken saitin da aka bayar da cikakken saitin da ƙwararren ya yarda da shi.

Da farko: wace musayar aka ƙi

IKEv2 yana tattauna nau'i biyu na haɗin gwiwa. IKE SA yana kare tattaunawar kanta, kuma CHILD SA yana kare zirga-zirga. Kowanne yana da nasa saitin shawara, kuma kowanne na iya gazawa da sanarwa ɗaya. Ƙin da aka yi a lokacin tattaunawar IKE ta farko da ƙin da aka yi a lokacin tattaunawar CHILD suna buƙatar gyare-gyare daban-daban, kuma log yawanci yana ambaton musayar layi ɗaya ko biyu sama da sanarwar. Karanta waɗannan layukan biyu tare, in ba haka ba za ka gyara jerin shawarar da ba daidai ba.

Sanarwar ita kaɗai ba ta gane musayar ba. Layin da ke sama da ita yana ambaton SA da ake tattaunawa, kuma wannan sunan yana nuni ga jerin shawarar da za a duba.

Kwatanta cikakkun saiti, ba kalmomi guda ɗaya ba

Shawara haɗuwa ce: algorithm na ɓoyewa, aminci ko AEAD, rukunin musayar maɓalli, da kowace aikin ƙira. Kwatanta sunan ɓoyewa kawai shine kuskuren da aka saba, domin ƙwararru biyu na iya yarda da AES-256 kuma har yanzu sun sami sabani kan SHA-1 da SHA-256. Rubuta saitin da aka bayar da wanda aka yarda da shi gefe da gefe a matakin da ya gaza, sannan ka nemi haɗin da ba komai a ciki.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Kuma duba cewa dukansu aiwatarwa suna goyon bayan abin da ka saita. Sunan da aka kwafa daga wani dandamali na iya zama kamar sananne a tsarin magana yayin da plugin ko aiwatarwa ya ɓace gaba ɗaya.

Saitin IKE da saitin ESP abubuwa ne daban-daban

Gyara shawarar IKE ba zai gyara shawarar CHILD da aka ƙi ba, kuma akasin haka ma gaskiya ne. A strongSwan waɗannan saituna ne daban, kusan proposals = aes256-sha256-modp2048 don IKE SA da jerin ESP daban don CHILD SA. Canza jerin da ya dace da musayar da ta gaza, sannan ka sake karanta log maimakon ɗauka cewa gyaran ya yi aiki.

Don CHILD SA, saitunan da suka dace shine jerin shawarar ESP, ba na IKE ba. Kwafin layin IKE cikinsa yana haifar da saitin da ake nazari amma yana tattauna abin da ba daidai ba.

Tunnel mai aiki wanda ke gazawa a lokacin sabunta maɓalli

Idan tunnel ya yi aiki na awa ɗaya sannan ya gaza, tattaunawar farko ba ita ce matsala ba. Sabunta maɓalli na iya gwada wasu yanayi: wani rukunin musayar maɓalli daban bayan musayar farko, rashin daidaiton lokacin rayuwa tsakanin ƙwararru, ko manufar mai amsawa da ta canza. Ka riƙe tambarin lokacin sabuntawa da alamun haɗin gwiwa daga ɓangarorin biyu. Wannan tsarin yana buƙatar kwatancen shawara a lokacin sabuntawa, ba dogon lokacin jira ba. Canza lokacin jira yana ɓoye alamar kuma yana barin rashin daidaito a wurin.

ipsec statusall yana nuna kowace haɗin gwiwa da algorithms da aka tattauna da gaske. Wannan fitarwar ita ce hanya mafi sauri ta tabbatar da wane jeri aka yi amfani da shi, kuma tana raba kuskuren saitin daga tsohon tunnel da ba a taɓa sake tattaunawa ba.

ipsec statusall | grep -E "IKE:|ESP:"

Zaɓi haɗi, sannan tabbatar da matakai biyu

Ka sa mai gudanarwa ya zaɓi ingantaccen haɗin zamani da aka rubuta wanda dukansu ƙwararru suka goyi bayan, kuma ya rubuta shi. Kada ka warware kuskuren ta hanyar kunna duk tsoffin algorithms ko ta hanyar kashe tabbatar da asali, domin babu ɗaya daga cikinsu da ke fitowa daga ƙin. Bayan canjin, kafa sabuwar haɗi sannan ka tilasta sabunta maɓalli. Haɗin farko kaɗai baya tabbatar da cewa hanyar sabuntawa tana aiki.

Ka riƙe haɗin da aka karɓa tare da nau'ikan firmware. Idan kuskure na gaba ya shafi masu zaɓen zirga-zirga, ka ɗauke shi daban, domin yarda kan sirri ba ta faɗin komai game da waɗanne ƙananan cibiyoyin sadarwa tunnel ke karewa. takardun shawara na strongSwan sun rufe tsarin rubutu na duk jerukan biyu.