IKEv2 NO_PROPOSAL_CHOSEN: hvaða stig hafnaði settinu?

NO_PROPOSAL_CHOSEN í annál sendir fólk að fyrirfram deildum lykli, og villan lifir breytinguna af. Þetta var aldrei vandamál um skilríki: jafninginn hafnaði hverri tillögu sem boðin var fyrir þau skipti, sem er fullyrðing um reiknirit en ekki auðkenni. Fyrsta gagnlega spurningin er ekki hvaða reiknirit eigi að breyta, heldur hvaða skiptum var hafnað. Svaraðu því áður en þú berð eitthvað saman. Berðu síðan saman fulla settið sem boðið var og fulla settið sem jafninginn leyfir.

Fyrst: hvaða skiptum var hafnað

IKEv2 semur um tvenns konar samtengingu. IKE SA verndar samningaviðræðurnar sjálfar, og CHILD SA verndar umferðina. Hvort hefur sitt eigið tillögusett, og hvort getur mistekist með sömu tilkynningu. Höfnun í upphaflegum IKE-viðræðum og höfnun í CHILD-viðræðum krefjast mismunandi lagfæringa, og annállinn nefnir venjulega skiptin einni eða tveimur línum ofar tilkynningunni. Lestu þessar tvær línur saman, annars breytir þú röngum tillögulista.

Tilkynningin ein og sér auðkennir ekki skiptin. Línan fyrir ofan nefnir SA sem verið er að semja um, og það nafn bendir á tillögulistann sem þarf að skoða.

Berðu saman heil sett, ekki einstök leitarorð

Tillaga er samsetning: dulkóðunorreiknirit, heilleiki eða AEAD, lyklaskiptahópur og hvaða gervislembifall sem er. Að bera aðeins saman nafn dulkóðunarinnar er venjulega mistökin, því tveir jafningar geta samþykkt AES-256 og samt verið ósammála um SHA-1 gegn SHA-256. Skrifaðu boðnu og leyfðu settin hlið við hlið á misteknu stigi og leitaðu síðan að tóma skurðinum.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Athugaðu líka að báðar útfærslur styðji það sem þú stilltir. Nafn afritað frá annarri kerfisstöð getur virst kunnuglegt að setningafræði á meðan viðbótin eða útfærslan vantar algjörlega.

IKE-sett og ESP-sett eru mismunandi hlutir

Að breyta IKE-tillögunni lagar ekki hafnaða CHILD-tillögu, og hið gagnstæða gildir líka. Í strongSwan eru þetta aðskildar stillingar, um það bil proposals = aes256-sha256-modp2048 fyrir IKE SA og aðskilinn ESP-list fyrir CHILD SA. Breyttu listanum sem passar við misteknu skiptin og lestu síðan annálinn aftur í stað þess að gera ráð fyrir að lagfæringin virki.

Fyrir CHILD SA er viðeigandi stilling ESP-tillögulistinn, ekki IKE-listinn. Að afrita IKE-línuna þangað býr til stillingu sem þáttar sig en semur um rangan hlut.

Virk göng sem mistakast við endurnýjun lykils

Ef göngin virkuðu í klukkustund og mistókust síðan, er upphaflega samningaviðræðan ekki vandamálið. Endurnýjun lykils getur prófað aðrar aðstæður: annan lyklaskiptahóp eftir fyrstu skiptin, ósamræmi í líftíma milli jafningja eða breytta stefnu svaranda. Geymdu tímasetningu endurnýjunar og samtengingarauðkenni frá báðum hliðum. Þetta mynstur krefst samanburðar tillagna við endurnýjun, ekki lengri tímaloka. Breyting tímaloka felur einkennin og lætur ósamræmið standa.

ipsec statusall sýnir hverja samtengingu og reikniritin sem raunverulega var samið um. Þessi úttak er fljótlegasta leiðin til að staðfesta hvaða listi var notaður, og hún aðgreinir stillingarvillu frá úreltum göngum sem aldrei var samið um aftur.

ipsec statusall | grep -E "IKE:|ESP:"

Veldu skurð og staðfestu síðan báða fasa

Láttu stjórnandann velja skjalfestan nútímalegan skurð sem báðir jafningar styðja, og skrifa hann niður. Leystu ekki villuna með því að virkja öll gömul reiknirit eða slökkva á auðkennisstaðfestingu, því hvorugt leiðir af höfnun. Eftir breytinguna skaltu koma á nýrri tengingu og þvinga síðan endurnýjun lykils. Fyrsta tengingin ein sannar ekki að endurnýjunin virki.

Geymdu samþykkta samsetningu með vélbúnaðarútgáfum. Ef næsta villa snýr að umferðarvalara, meðhöndlaðu hana sérstaklega, því samkomulag um dulritun segir ekkert um hvaða undirnet göngin vernda. strongSwan tillöguskjöl ná yfir setningafræði beggja lista.