Windows og strongSwan: að para fjórar umbreytingar í IKE-tillögu

Báðir aðilar styðja AES, báðir samþykkja SHA-256, og göngin koma samt ekki upp. Tillagan mistókst á þætti sem enginn bar saman, venjulega lyklaskiptahópnum. Þessi leiðarvísir les raunveruleg skiptin áður en nokkuð er breytt, beitir einni afmarkaðri stefnu og skilur eftir afturköllun sem endurheimtir fyrri færibreyturnar.

Lestu mistökin áður en þú skiptir um hóp

„Stefnusamræmisvilla“ er samantekt, ekki greining. Hún þýðir að engin gagnkvæmt ásættanleg tillaga fannst, og segir ekkert um hvaða þáttur var hafnað. Líttu á hana sem upphaf rannsóknarinnar en ekki sönnun um tiltekinn hóp.

Svarið er venjulega á þjónshliðinni. strongSwan-logg á viðeigandi stigi listar tillöguna sem hann fékk frá biðlaranum og tillöguna sem hann er stilltur til að samþykkja, og munurinn á listunum tveimur nefnir þáttinn sem mistókst.

Ekki gera ráð fyrir að biðlarinn bjóði það sem gömul fórumfærsla segir. Virka sniðið og uppsetta stefnan þess ákvarða boðna listann, og uppfærð Windows-útgáfa getur boðið annan sett en sá sem er á skjámyndinni sem þú ert að afrita.

Skrifaðu báða listana niður. Fjórar umbreytingarstöður og einn hópur er stuttur listi, og að bera hann saman línu fyrir línu tekur skemmri tíma en hver tilraun. Fjórar stöður er auðvelt að hafa í augsýn. Loggskrá ekki.

Berðu saman hverja umbreytingu, ekki eitt kunnugt nafn

IKE-tillaga er safn valkosta sem allir verða að stemma. Dulritun verndar samningaviðræðurnar, heilleiki eða PRF auðkennir þær, og Diffie-Hellman-hópur býr til nýtt lykilefni. Tillaga sem stemmir á fyrstu tveimur og er frábrugðin á þriðju er enn óásættanleg fyrir báða aðila.

Tvö Windows-sviðin sem ruglast hér tilheyra ólíkum fösum. DHGroup á við IKE-lyklaskipti, en PfsGroup á við barnasamtengingu sem verndar umferð. Að breyta hinu síðara getur ekki lagað mistök í hinu fyrra.

Hópaheiti eru mismunandi milli útfærslna, og það er sérstök ruglingsuppspretta. strongSwan skrifar modp2048 og ecp256 en Windows notar talninganöfn eins og Group14 og ECP256, svo samanburður verður að þýða áður en hann ber saman. Haltu tveggja dálka minnispunkti með báðum nöfnunum. Næsta misræmi flokkast þá á sekúndum.

Beittu einni heildstæðri og afmarkaðri stefnu

Stuðlað tækið fyrir innfædda IKEv2-snið er IPsec-stefna fyrir hverja tengingu, stillt sem einn hlutur í stað sviðs fyrir svið. Forskoðaðu hana fyrst, beittu henni síðan og geymdu fyrri færibreyturnar í breytingaskránni.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Rofinn -WhatIf forskoðar staðbundnu breytinguna og beitir engu. Það er gagnlegt og jafnframt algeng gildra, því forskoðun sannar aðeins að færibreyturnar séu setningalega ásættanlegar fyrir staðbundna cmdlet-skipunina. Hún segir ekkert um hvort hliðið muni samþykkja tillöguna sem verður til.

Stilltu líka umfangið á meðan þú ert þar. Tenging í geymslu allra notenda þarf samsvarandi færibreytu fyrir alla notendur, og að breyta sniðinu fyrir hvern notanda með sama birtanafni breytir öðrum hlut sem göngin nota ekki.

Stilltu síðan strongSwan-hliðina á sama sett fyrir prófun. Samræmd breyting á báðum endum er eina útgáfan sem rennur saman; að breyta annarri hlið og reyna aftur og aftur framleiðir logg fullt af sömu synjun.

Staðfestu skiptin og lyklaendurnýjunina aðskilið

Árangursrík tenging er ein athugun, og lyklaendurnýjunin er önnur. Upphafleg IKE-samningaviðræða notar eitt færibreytusett, og barnasamtengingin sem ber umferðina getur síðar verið endursamin með eigin stefnu. Uppsetning sem tengist og dettur síðan út eftir smá stund er venjulega síðara tilfellið.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Fyrsta skipunin sýnir sýn þjónsins á stofnuðu samtengingarnar, þar á meðal barnasa-eininguna og eftirstöðvar líftíma hennar. Sú önnur sýnir hvað biðlarasniðið heldur núna, og það er eina leiðin til að staðfesta að stefnan sem þú stilltir sé stefnan sem gildir.

Fylgstu með fullri lyklaendurnýjun áður en þú lýsir yfir árangri. Það þýðir að láta tenginguna standa nógu lengi til að barnasamtengingin verði skipt út, og staðfesta svo að umferðin haldi áfram. Flest stefnumisræmi fela sig í því skrefi, því upphaflegu samningaviðræðurnar geta tekist með setti sem endurnýjunin samþykkir ekki.

Afturköllun er fyrra færibreytusettið, ekki eftirlát varaleið. Ef biðlarinn bauð aðeins veikan gamlan hóp, er svarið að bæta sameiginlegu stefnu biðlarans og þjónsins, ekki að bæta þeim hóp við hliðið þar sem hver framtíðaraðili getur samið sig niður að honum.

Skráðu fjórar færibreytur, hópinn, umfang tengingarinnar og niðurstöðu lyklaendurnýjunarinnar. Það er stutt minnispunktur, og hann er munurinn á leiðarvísi og sögu um það þegar göngin komu upp.