Windows dan strongSwan: mencocokkan empat transformasi dalam proposal IKE

Kedua pihak mendukung AES, keduanya menerima SHA-256, tetapi terowongan tetap tidak naik. Proposal gagal pada komponen yang tidak dibandingkan siapa pun, biasanya grup pertukaran kunci. Panduan ini membaca pertukaran sebenarnya sebelum mengubah apa pun, menerapkan satu kebijakan terbatas, dan meninggalkan pengembalian yang memulihkan parameter sebelumnya.

Baca kegagalan sebelum mengubah grup

«Kesalahan kecocokan kebijakan» adalah ringkasan, bukan diagnosis. Artinya tidak ada proposal yang dapat diterima kedua pihak, dan itu tidak mengatakan komponen mana yang ditolak. Perlakukan sebagai awal penyelidikan, bukan bukti tentang grup tertentu.

Jawabannya biasanya ada di sisi server. Log strongSwan pada tingkat yang tepat mencantumkan proposal yang diterima dari klien dan proposal yang dikonfigurasi untuk diterima, dan selisih kedua daftar menyebutkan komponen yang gagal.

Jangan menganggap klien menawarkan apa yang dikatakan kiriman forum lama. Profil aktif dan kebijakan terpasangnya menentukan daftar yang ditawarkan, dan build Windows yang diperbarui dapat menawarkan set berbeda dari yang ada di tangkapan layar yang Anda salin.

Tuliskan kedua daftar. Empat posisi transformasi dan satu grup adalah daftar pendek, dan membandingkannya baris demi baris memakan waktu lebih sedikit daripada eksperimen apa pun. Empat posisi mudah diingat. Berkas log tidak.

Bandingkan setiap transformasi, bukan satu nama yang akrab

Proposal IKE adalah kumpulan pilihan yang semuanya harus cocok. Enkripsi melindungi negosiasi, integritas atau PRF mengautentikasinya, dan grup Diffie-Hellman membentuk materi kunci baru. Proposal yang cocok pada dua yang pertama dan berbeda pada yang ketiga tetap tidak dapat diterima kedua pihak.

Dua bidang Windows yang tertukar di sini termasuk fase yang berbeda. DHGroup berlaku untuk pertukaran kunci IKE, sedangkan PfsGroup berlaku untuk asosiasi anak yang melindungi lalu lintas. Mengubah yang kedua tidak dapat memperbaiki kegagalan pada yang pertama.

Nama grup berbeda antarimplementasi, dan itu sumber kebingungan tersendiri. strongSwan menulis modp2048 dan ecp256 sedangkan Windows memakai nama enumerasi seperti Group14 dan ECP256, jadi perbandingan harus menerjemahkan sebelum membandingkan. Simpan catatan dua kolom dengan kedua nama. Ketidakcocokan berikutnya lalu terklasifikasi dalam hitungan detik.

Terapkan satu kebijakan yang lengkap dan terbatas

Instrumen yang didukung untuk profil IKEv2 asli adalah kebijakan IPsec per koneksi, ditetapkan sebagai satu objek, bukan bidang demi bidang. Pratinjau dulu, lalu terapkan, dan simpan parameter sebelumnya dalam catatan perubahan.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Tombol -WhatIf menampilkan pratinjau perubahan lokal dan tidak menerapkan apa pun. Itu berguna dan sekaligus jebakan umum, karena pratinjau hanya membuktikan bahwa parameter dapat diterima secara sintaksis oleh cmdlet lokal. Itu tidak mengatakan apakah gateway akan menerima proposal yang dihasilkan.

Sekalian cocokkan cakupannya. Koneksi di penyimpanan semua pengguna memerlukan parameter semua pengguna yang sesuai, dan menyunting profil per pengguna dengan nama tampilan yang sama mengubah objek lain yang tidak dipakai terowongan.

Lalu sesuaikan sisi strongSwan ke set yang sama sebelum menguji. Perubahan terkoordinasi di kedua ujung adalah satu-satunya versi yang konvergen; mengubah satu sisi dan mencoba lagi berulang kali menghasilkan log penuh penolakan yang sama.

Verifikasi pertukaran dan pembaruan kunci secara terpisah

Koneksi yang berhasil adalah satu pengamatan, dan pembaruan kunci adalah pengamatan lain. Negosiasi IKE awal memakai satu set parameter, dan asosiasi anak yang membawa lalu lintas dapat dinegosiasikan ulang nanti dengan kebijakannya sendiri. Penyiapan yang terhubung lalu turun setelah beberapa saat biasanya adalah kasus kedua.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Perintah pertama menunjukkan pandangan server atas asosiasi yang terbentuk, termasuk SA anak dan sisa masa hidupnya. Perintah kedua menunjukkan apa yang kini dipegang profil klien, dan itulah satu-satunya cara memastikan kebijakan yang Anda setel adalah kebijakan yang berlaku.

Amati pembaruan kunci penuh sebelum menyatakan berhasil. Itu berarti membiarkan koneksi tetap naik cukup lama agar asosiasi anak diganti, lalu memastikan lalu lintas berlanjut. Sebagian besar ketidakcocokan kebijakan bersembunyi di langkah itu, karena negosiasi awal dapat berhasil dengan set yang tidak diterima pembaruan kunci.

Pengembalian adalah set parameter sebelumnya, bukan cadangan yang serba memperbolehkan. Jika klien hanya menawarkan grup lama yang lemah, jawabannya adalah memperbaiki kebijakan bersama klien dan server, bukan menambahkan grup itu ke gateway tempat setiap pihak mendatang dapat bernegosiasi turun ke sana.

Catat keempat parameter, grup, cakupan koneksi, dan hasil pembaruan kunci. Itu catatan singkat, dan itulah bedanya antara panduan dan cerita tentang saat terowongan itu naik.