Windows ו-strongSwan: התאמת ארבע הטרנספורמציות בהצעת IKE
צופן משותף אינו מספיק כשהצדדים חלוקים על קבוצת חילופי המפתחות. השוו את כל ארבע הטרנספורמציות, ואז החילו מדיניות פרופיל אחת מוגבלת.
שני הצדדים תומכים ב-AES, שניהם מקבלים SHA-256, והמנהרה בכל זאת לא עולה. ההצעה נכשלה ברכיב שאיש לא השווה, בדרך כלל בקבוצת חילופי המפתחות. מדריך זה קורא את החילוף בפועל לפני שמשנים משהו, מחיל מדיניות אחת מוגבלת ומשאיר דרך חזרה שמשחזרת את הפרמטרים הקודמים.
קראו את הכשל לפני שמשנים קבוצה
„שגיאת התאמת מדיניות“ היא תקציר, לא אבחנה. היא אומרת שלא נמצאה הצעה מקובלת על שני הצדדים, ואינה אומרת דבר על איזה רכיב נדחה. התייחסו אליה כתחילת החקירה ולא כהוכחה לגבי קבוצה מסוימת.
התשובה נמצאת בדרך כלל בצד השרת. יומן strongSwan ברמה מתאימה מפרט את ההצעה שהתקבלה מהלקוח ואת ההצעה שהוא מוגדר לקבל, וההבדל בין שתי הרשימות מציין את הרכיב שנכשל.
אל תניחו שהלקוח מציע את מה שפוסט פורום ישן אומר. הפרופיל הפעיל והמדיניות המותקנת שלו קובעים את הרשימה המוצעת, וגרסת Windows מעודכנת עשויה להציע סט שונה מזה שבצילום המסך שממנו אתם מעתיקים.
רשמו את שתי הרשימות. ארבע עמדות טרנספורמציה וקבוצה אחת הם רשימה קצרה, והשוואתה שורה אחר שורה אורכת פחות זמן מכל ניסוי. ארבע עמדות קל לשמור בעין. קובץ יומן לא.
השוו כל טרנספורמציה, לא שם מוכר אחד
הצעת IKE היא סט של בחירות שכולן חייבות להתאים. ההצפנה מגנה על המשא ומתן, השלמות או PRF מאמתים אותו, וקבוצת Diffie-Hellman יוצרת חומר מפתח חדש. הצעה שמתאימה בשתיים הראשונות ושונה בשלישית עדיין אינה מקובלת על שני הצדדים.
שני שדות Windows שמתבלבלים כאן שייכים לשלבים שונים. DHGroup חל על חילופי מפתחות IKE, ואילו PfsGroup חל על אגודת הילד שמגנה על התעבורה. שינוי השני לא יוכל לתקן כשל בראשון.
שמות הקבוצות שונים בין מימושים, וזו מקור בלבול נפרד. strongSwan כותב modp2048 ו-ecp256 ואילו Windows משתמש בשמות ספירה כמו Group14 ו-ECP256, ולכן השוואה חייבת לתרגם לפני שהיא משווה. החזיקו פתק בשתי עמודות עם שני השמות. אז אי-ההתאמה הבאה תסווג בשניות.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
החילו מדיניות אחת מלאה ומוגבלת
הכלי הנתמך לפרופיל IKEv2 מקורי הוא מדיניות IPsec לכל חיבור, שנקבעת כאובייקט אחד ולא שדה אחר שדה. הציגו אותה בתצוגה מקדימה תחילה, אחר כך החילו אותה, ושמרו את הפרמטרים הקודמים ברשומת השינוי.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIfהמתג -WhatIf מציג את השינוי המקומי בתצוגה מקדימה ואינו מחיל דבר. זה שימושי וגם מלכודת נפוצה, משום שתצוגה מקדימה מוכיחה רק שהפרמטרים מקובלים תחבירית עבור ה-cmdlet המקומי. היא אינה אומרת דבר על כך האם השער יקבל את ההצעה שתיווצר.
התאימו גם את ההיקף כל עוד אתם שם. חיבור במאגר של כל המשתמשים זקוק לפרמטר המתאים של כל המשתמשים, ועריכת הפרופיל לכל משתמש עם אותו שם תצוגה משנה אובייקט אחר שהמנהרה אינה משתמשת בו.
אחר כך כווננו את צד strongSwan לאותו סט לפני הבדיקה. שינוי מתואם בשני הקצוות הוא הגרסה היחידה של זה שמתכנסת; שינוי צד אחד וניסיון חוזר שוב ושוב מייצר יומן מלא באותה דחייה.
אמתו את החילוף ואת חידוש המפתחות בנפרד
חיבור מוצלח הוא תצפית אחת, וחידוש המפתחות הוא תצפית אחרת. המשא ומתן הראשוני של IKE משתמש בסט פרמטרים אחד, ואגודת הילד שנושאת את התעבורה יכולה להידון מחדש מאוחר יותר עם המדיניות שלה. הגדרה שמתחברת ואז נופלת כעבור זמן היא בדרך כלל המקרה השני.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *הפקודה הראשונה מציגה את ראיית השרת של האגודות שהוקמו, כולל אגודת הילד ומשך חייה הנותר. השנייה מציגה מה פרופיל הלקוח מחזיק כעת, וזו הדרך היחידה לאשר שהמדיניות שקבעתם היא המדיניות שבתוקף.
צפו בחידוש מפתחות מלא לפני שאתם מכריזים על הצלחה. זה אומר להשאיר את החיבור פתוח מספיק זמן כדי שאגודת הילד תוחלף, ואז לאשר שהתעבורה נמשכת. רוב אי-ההתאמות במדיניות מסתתרות בשלב הזה, משום שהמשא ומתן הראשוני יכול להצליח עם סט שחידוש המפתחות אינו מקבל.
החזרה לאחור היא סט הפרמטרים הקודם, לא חלופה מתירנית. אם הלקוח הציע רק קבוצה ותיקה וחלשה, התשובה היא לשפר את המדיניות המשותפת של הלקוח והשרת, ולא להוסיף את הקבוצה הזו לשער שבו כל צד עתידי יוכל להנמיך את המשא ומתן עד אליה.
רשמו את ארבעת הפרמטרים, הקבוצה, היקף החיבור ותוצאת חידוש המפתחות. זהו פתק קצר, והוא ההבדל בין מדריך לבין סיפור על הפעם שבה המנהרה עלתה.