IKEv2 NO_PROPOSAL_CHOSEN՝ ո՞ր փուլը մերժեց հավաքածուն

Մատյանում NO_PROPOSAL_CHOSEN տեսնելը մարդկանց ուղարկում է նախապես համօգտագործված բանալու մոտ, և սխալը պահպանվում է նաև փոփոխությունից հետո։ Դա երբեք հավատարմագրերի խնդիր չի եղել, քանի որ հավասարը մերժել է այդ փոխանակման համար առաջարկված բոլոր առաջարկները, ինչը խոսում է ալգորիթմների, ոչ թե ինքնության մասին։ Առաջին օգտակար հարցն այն չէ, թե որ ալգորիթմը խմբագրել, այլ այն, թե որ փոխանակումն է մերժվել։ Պատասխանեք դրան նախքան որևէ բան համեմատելը։ Այնուհետև համեմատեք առաջարկված ամբողջ հավաքածուն հավասարի թույլատրած ամբողջ հավաքածուի հետ։

Նախ՝ ո՞ր փոխանակումն է մերժվել

IKEv2-ը բանակցում է երկու տեսակի միավորում։ IKE SA-ն պաշտպանում է հենց բանակցությունը, իսկ CHILD SA-ն՝ տրաֆիկը։ Յուրաքանչյուրն ունի իր առաջարկների հավաքածուն, և յուրաքանչյուրը կարող է ձախողվել նույն ծանուցմամբ։ Սկզբնական IKE բանակցության ընթացքում մերժումը և CHILD բանակցության ընթացքում մերժումը պահանջում են տարբեր շտկումներ, և մատյանը սովորաբար նշում է փոխանակումը ծանուցումից մեկ-երկու տող վերև։ Կարդացեք այդ երկու տողերը միասին, այլապես կխմբագրեք սխալ առաջարկների ցանկը։

Միայն ծանուցումը չի նույնականացնում փոխանակումը։ Դրա վերևի տողը նշում է բանակցվող SA-ն, և այդ անունը մատնանշում է ստուգման ենթակա առաջարկների ցանկը։

Համեմատեք ամբողջական հավաքածուները, ոչ առանձին հիմնաբառեր

Առաջարկը համակցություն է՝ գաղտնագրման ալգորիթմ, ամբողջականություն կամ AEAD, բանալիների փոխանակման խումբ և ցանկացած կեղծ պատահական ֆունկցիա։ Միայն գաղտնագրման անունը համեմատելը սովորական սխալ է, քանի որ երկու հավասարներ կարող են համաձայնել AES-256-ի շուրջ և դեռ տարաձայնել SHA-1-ի և SHA-256-ի հարցում։ Ձախողված փուլում առաջարկված և թույլատրված հավաքածուները գրեք կողք կողքի, ապա փնտրեք դատարկ հատումը։

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Ստուգեք նաև, որ երկու իրականացումներն էլ աջակցում են ձեր կարգավորածին։ Այլ հարթակից պատճենված անունը կարող է շարահյուսորեն ծանոթ թվալ մինչդեռ փլագինը կամ իրականացումը բացակայում է ամբողջությամբ։

IKE հավաքածուն և ESP հավաքածուն տարբեր օբյեկտներ են

IKE առաջարկը խմբագրելը չի շտկի մերժված CHILD առաջարկը, և հակառակը նույնպես ճիշտ է։ strongSwan-ում դրանք առանձին կարգավորումներ են՝ մոտավորապես proposals = aes256-sha256-modp2048 IKE SA-ի համար և առանձին ESP ցանկ CHILD SA-ի համար։ Փոխեք ձախողված փոխանակմանը համապատասխանող ցանկը, ապա նորից կարդացեք մատյանը՝ փոխարենը ենթադրելու, որ շտկումն աշխատել է։

CHILD SA-ի համար համապատասխան կարգավորումը ESP առաջարկների ցանկն է, ոչ IKE-ինը։ IKE տողը դրա մեջ պատճենելը ստեղծում է կարգավորում, որը վերլուծվում է, բայց բանակցում է սխալ օբյեկտը։

Աշխատող թունել, որը ձախողվում է բանալու նորացման ժամանակ

Եթե թունելը մեկ ժամ աշխատեց և հետո ձախողվեց, սկզբնական բանակցությունը խնդիրը չէ։ Բանալու նորացումը կարող է փորձարկել այլ պայմաններ՝ այլ բանալիների փոխանակման խումբ առաջին փոխանակումից հետո, կյանքի տևողության անհամապատասխանություն հավասարների միջև կամ փոփոխված պատասխանողի քաղաքականություն։ Պահեք նորացման ժամանակի դրոշմը և միավորման նույնացուցիչները երկու կողմերից։ Այդ օրինաչափությունը պահանջում է առաջարկների համեմատություն նորացման պահին, ոչ ավելի երկար ժամկետ։ Ժամկետի փոփոխությունը թաքցնում է ախտանիշը և թողնում անհամապատասխանությունը տեղում։

ipsec statusall ցույց է տալիս յուրաքանչյուր միավորում և փաստացի բանակցված ալգորիթմները։ Այդ ելքը ամենաարագ ձևն է հաստատելու, թե որ ցանկն է օգտագործվել, և այն տարանջատում է կարգավորման սխալը հնացած թունելից, որը երբեք չի վերաբանակցվել։

ipsec statusall | grep -E "IKE:|ESP:"

Ընտրեք հատում, ապա հաստատեք երկու փուլերը

Խնդրեք ադմինիստրատորին ընտրել փաստաթղթավորված ժամանակակից հատում, որն աջակցում են երկու հավասարները, և գրի առնել այն։ Մի լուծեք սխալը՝ միացնելով բոլոր հին ալգորիթմները կամ անջատելով ինքնության ստուգումը, քանի որ ոչ մեկը չի բխում մերժումից։ Փոփոխությունից հետո հաստատեք նոր կապ, ապա պարտադրեք բանալու նորացում։ Միայն առաջին կապը չի ապացուցում, որ նորացման ուղին աշխատում է։

Պահեք ընդունված համակցությունը որոնվածի տարբերակների հետ միասին։ Եթե հաջորդ սխալը վերաբերում է տրաֆիկի ընտրիչներին, առանձին զբաղվեք դրանով, քանի որ գաղտնագրության շուրջ համաձայնությունը ոչինչ չի ասում այն մասին, թե որ ենթացանցերն է պաշտպանում թունելը։ strongSwan-ի առաջարկների փաստաթղթավորումը ընդգրկում է երկու ցանկերի շարահյուսությունը։