Windows-ի և strongSwan-ի ծածկագրերը՝ համապատասխանեցրեք ճիշտ շերտը

Երկու կողմերն էլ ասում են AES-128, և թունելը դեռ հրաժարվում է կառուցվել։ CBC-ն և GCM-ը տարբեր ձևափոխություններ են, որոնք պատահաբար կիսում են բանալու նույն երկարությունը, և մեկը առաջարկող հաճախորդը չի բավարարում դարպասը, որն ընդունում է միայն մյուսը։ AES բառը նկարագրում է ընտանիք, ոչ թե համաձայնություն։

Կա նաև երկրորդ առանցք, և հենց այն է ստեղծում շփոթեցնող սխալները։

Երկու շերտ, երկու անկախ ցանկ

IKE-ն պաշտպանում է բուն բանակցությունը, մինչդեռ զավակ միավորումը պաշտպանում է այն երթևեկությունը, որն իսկապես ձեզ համար կարևոր է։ Windows-ը առաջինը ներկայացնում է որպես գաղտնագրման մեթոդ և ամբողջականության մեթոդ, իսկ երկրորդը՝ որպես ծածկագրի և նույնականացման ձևափոխության հաստատուններ։ Այդ դաշտերը միմյանց անվանակից չեն, և մի դաշտում վավեր արժեքը մյուսում կարող է անիմաստ կամ սխալ լինել։ Պրոֆիլը այդ բաժանումով ընթերցելը վերացնում է շփոթության մեծ մասը։

Գործնական հետևանքն այն է, որ կարող եք ունենալ լիովին ընդունելի բանալիների փոխանակման քաղաքականություն և տվյալների ալիքի այնպիսի քաղաքականություն, որը գործընկերը չի ընդունի։ Մի ցանկը բանակցում է, մյուսը պաշտպանում է փաթեթները։ Առաջինում արժեք փոխելը որևէ ազդեցություն չունի երկրորդի վրա, որքան էլ երկուսը նման տեսք ունենան կազմաձևման երկխոսության մեջ։

Գրեք երկու ցանկերն էլ նախքան դարպասի հետ համեմատելը։ Հիշողությունից արված համեմատությունը մի դաշտը երկու անգամ խմբագրելու և մյուսը երբեք չխմբագրելու ձևն է։ Դարպասի կոնսոլը բաց պահեք պրոֆիլի կողքին։

Կարդացեք սխալը առաջարկների կողքին

Ձախողված փուլը ձեզ ասում է, թե որ ցանկը ստուգել։ Նախնական բանալիների փոխանակման ընթացքում մերժումը IKE առաջարկի խնդիր է, և դա տեղի է ունենում նախքան որևէ զավակ միավորում գոյություն ունենալը։ Պաշտպանված երթևեկության միավորման բանակցության ընթացքում ձախողումը ESP առաջարկի խնդիր է, և բանալիների փոխանակությունն արդեն հաջողվել է։ Հաճախորդի ընդհանուր քաղաքականության համընկնման հաղորդագրությունը չի նշում փուլերից ոչ մեկը, դրա համար էլ դարպասի սեփական տեսակետն է օգտակար։

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

Համեմատեք ստացված առաջարկը, կազմաձևված առաջարկը և ընտրվածը այդ մեկ փորձի համար։ Այստեղ կարևոր են երեք տարբեր ցանկեր, և միայն վերջինն է նկարագրում, թե ինչն է իրականում օգտագործվել։ Մեջբերեք այն բառացի տոմսում՝ փոխանակ այն ամփոփելու։

Պահեք CBC-ն և GCM-ը որպես առանձին այլընտրանքներ

Դարպասը, որին դիտավորյալ թույլատրվում է ընդունել ընտանիքներից որևէ մեկը, պահանջում է երկու առաջարկ, ոչ թե մեկ։ strongSwan-ում ստորակետը բաժանում է այլընտրանքները, իսկ գծիկը միացնում է մեկ հավաքածուի բաղադրիչները։ Երկու ընտանիքները գծիկներով համադրելը ստեղծում է մեկ անհնար առաջարկ՝ երկու ընդունելիի փոխարեն։

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

Առաջին այլընտրանքը կրում է նույնականացված գաղտնագրում և դեռ նշում է կեղծպատահական ֆունկցիա, որովհետև բանալու ածանցումը դրա կարիքն ունի նույնիսկ այն դեպքում, երբ ամբողջականությունը գալիս է ծածկագրից։ Երկրորդ այլընտրանքը դասական գաղտնագրում է՝ առանձին ամբողջականության ալգորիթմով։ Երկուսն էլ ենթակա են նրան, ինչ աջակցում է բեռնված գաղտնագրային իրականացումը։

ESP առաջարկը վերանվանված IKE առաջարկ չէ

Ծածկագրի նշանը նույնական է թվում երկու ցանկերում, և գրեթե ոչինչ այլ չի փոխանցվում։ ESP առաջարկը բանալիների փոխանակման կեղծպատահական ֆունկցիա չունի, և դրա ամբողջականության ու առաջընթաց գաղտնիության պահանջները վիճարկվում են մյուս կողմի Windows քաղաքականության դեմ՝ IKE տողից պատճենելու փոխարեն։ Մի ցանկը մյուսին մեխանիկորեն թարգմանելը ստեղծում է մի բան, որ վավերացվում է և երբեք չի բանակցում։

Ընտրեք ուղղություն և մնացեք դրանում։ Կամ դարպասը պահում է միայն GCM քաղաքականություն, և հաճախորդը տեղադրում է ամբողջական համատեղելի քաղաքականություն, կամ դարպասն ընդունում է երկու ընտանիքները, և հաճախորդը պահում է իր գոյություն ունեցող հավաքածուն։ Անվտանգության քաղաքականության արգելած պահուստային տարբերակի միացումը լուծում չէ, որքան էլ արագ այն վերացնի սխալը։

Ստուգեք երկու հավաքածուները, ապա բանալու նորոգում

Հաստատեք ընտրված բանալիների փոխանակման հավաքածուն և ընտրված երթևեկության հավաքածուն առանձին, որովհետև դրանք գալիս են տարբեր ցանկերից և կարող են հաջողվել անկախաբար։ Այնուհետև թույլ տվեք բանալու նորոգում տեղի ունենա և հաստատեք նաև այն։ Աշխատող առաջին ձեռքսեղմումը և ձախողվող բանալու նորոգումը նկարագրում են առաջարկների հավաքածու, որը միայն մասամբ է ընդունելի։

Պահեք այդ ապացույցը փոփոխության հետ։ Կրկնվող կապի խզումը պահանջում է իր ձախողված փոխանակության գրառումը նախքան ինչ-որ մեկը կմեղադրի ժամաչափին կամ հարթակի թերությանը։