IKEv2 NO_PROPOSAL_CHOSEN: u kojoj je fazi skup odbijen?

NO_PROPOSAL_CHOSEN u dnevniku šalje ljude prema prethodno dijeljenom ključu, a greška preživi i tu promjenu. Nikada nije bio problem u vjerodajnicama: sugovornik je odbio svaki prijedlog ponuđen za tu razmjenu, što je izjava o algoritmima, a ne o identitetu. Prvo korisno pitanje nije koji algoritam urediti, nego koja je razmjena odbijena. Odgovorite na to prije bilo kakve usporedbe. Zatim usporedite cijeli skup koji je ponuđen s cijelim skupom koji sugovornik dopušta.

Prvo: koja je razmjena odbijena

IKEv2 pregovara dvije vrste asocijacije. IKE SA štiti sam pregovor, a CHILD SA štiti promet. Svaka ima svoj skup prijedloga i svaka može pasti uz istu obavijest. Odbijanje tijekom početnog IKE pregovora i odbijanje tijekom CHILD pregovora traže različite popravke, a dnevnik obično navede razmjenu red ili dva iznad obavijesti. Čitajte ta dva reda zajedno, inače ćete urediti pogrešan popis prijedloga.

Sama obavijest ne identificira razmjenu. Red iznad nje navodi SA koji se pregovara, a to ime pokazuje na popis prijedloga koji treba pregledati.

Usporedite cijele skupove, ne pojedinačne ključne riječi

Prijedlog je kombinacija: algoritam šifriranja, integritet ili AEAD, grupa za razmjenu ključeva i bilo koja pseudoslučajna funkcija. Uspoređivanje samo naziva šifriranja uobičajena je pogreška, jer se dva sugovornika mogu složiti oko AES-256 i dalje se ne slagati oko SHA-1 nasuprot SHA-256. Napišite ponuđeni i dopušteni skup jedan uz drugi u fazi koja je pala, pa tražite prazan presjek.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Provjerite i da obje implementacije podržavaju ono što ste postavili. Ime prepisano s druge platforme može izgledati sintaksno poznato dok dodatak ili implementacija posve nedostaje.

IKE skup i ESP skup različiti su objekti

Uređivanje IKE prijedloga neće popraviti odbijeni CHILD prijedlog, a vrijedi i obrnuto. U strongSwanu su to odvojene postavke, otprilike proposals = aes256-sha256-modp2048 za IKE SA i odvojen ESP popis za CHILD SA. Promijenite popis koji odgovara paloj razmjeni, pa ponovno pročitajte dnevnik umjesto da pretpostavite da je popravak uspio.

Za CHILD SA relevantna je postavka ESP popis prijedloga, ne IKE popis. Kopiranje IKE retka u njega stvara konfiguraciju koja se parsira, ali pregovara pogrešan objekt.

Tunel koji radi, a padne pri obnovi ključa

Ako je tunel radio sat vremena i onda pao, početni pregovor nije problem. Obnova ključa može ispitati druge uvjete: drugu grupu za razmjenu ključeva nakon prve razmjene, neusklađenost životnog vijeka između sugovornika ili promijenjenu politiku odgovarača. Sačuvajte vremensku oznaku obnove i identifikatore asocijacije s obje strane. Takav obrazac traži usporedbu prijedloga pri obnovi, a ne dulji timeout. Promjena timeouta skriva simptom i ostavlja neusklađenost na mjestu.

ipsec statusall prikazuje svaku asocijaciju i algoritme koji su zaista pregovarani. Taj je izlaz najbrži način da potvrdite koji je popis korišten i razdvaja grešku u konfiguraciji od zastarjelog tunela koji se nikad nije ponovno pregovarao.

ipsec statusall | grep -E "IKE:|ESP:"

Odaberite presjek, pa potvrdite obje faze

Neka administrator odabere dokumentirani moderni presjek koji oba sugovornika podržavaju i zapiše ga. Ne rješavajte grešku uključivanjem svakog zastarjelog algoritma ni isključivanjem provjere identiteta, jer ni jedno ne slijedi iz odbijanja. Nakon promjene uspostavite novu vezu, pa prisilno pokrenite obnovu ključa. Sama prva veza ne dokazuje da put obnove radi.

Sačuvajte prihvaćenu kombinaciju uz verzije firmvera. Ako se sljedeća greška tiče traffic selectora, tretirajte je odvojeno, jer dogovor o kriptografiji ne govori ništa o tome koje podmreže tunel štiti. strongSwanova dokumentacija o prijedlozima pokriva sintaksu za oba popisa.