IKEv2 NO_PROPOSAL_CHOSEN: რომელმა ეტაპმა უარყო ნაკრები?

NO_PROPOSAL_CHOSEN ჟურნალში ადამიანებს წინასწარ გაზიარებული გასაღებისკენ აგზავნის, და შეცდომა ცვლილების შემდეგაც რჩება. ეს არასდროს ყოფილა სერტიფიკატების პრობლემა: თანატოლმა უარყო ამ გაცვლისთვის შემოთავაზებული ყველა წინადადება, რაც ალგორითმებზეა ნათქვამი და არა იდენტობაზე. პირველი სასარგებლო კითხვა არ არის რომელი ალგორითმი უნდა შეიცვალოს, არამედ რომელი გაცვლა უარყვეს. უპასუხეთ ამას სანამ რაიმეს შეადარებთ. შემდეგ შეადარეთ შემოთავაზებული სრული ნაკრები თანატოლის მიერ დაშვებულ სრულ ნაკრებს.

ჯერ: რომელი გაცვლა უარყვეს

IKEv2 ორი სახის ასოციაციაზე მოლაპარაკებას აწარმოებს. IKE SA იცავს თავად მოლაპარაკებას, ხოლო CHILD SA ტრაფიკს. თითოეულს აქვს საკუთარი წინადადებათა ნაკრები და თითოეული შეიძლება ჩავარდეს იმავე შეტყობინებით. საწყისი IKE მოლაპარაკების დროს უარყოფა და CHILD მოლაპარაკების დროს უარყოფა სხვადასხვა შესწორებას მოითხოვს, და ჟურნალი ჩვეულებრივ გაცვლას ასახელებს შეტყობინებიდან ერთი-ორი სტრიქონით ზემოთ. წაიკითხეთ ეს ორი სტრიქონი ერთად, თორემ არასწორ წინადადებათა სიას შეასწორებთ.

მხოლოდ შეტყობინება გაცვლას არ იდენტიფიცირებს. მის ზემოთ სტრიქონი ასახელებს მოლაპარაკებად SA-ს და ეს სახელი მიუთითებს შესამოწმებელ წინადადებათა სიაზე.

შეადარეთ სრული ნაკრებები და არა ცალკეული საკვანძო სიტყვები

წინადადება კომბინაციაა: დაშიფვრის ალგორითმი, მთლიანობა ან AEAD, გასაღების გაცვლის ჯგუფი და ნებისმიერი ფსევდო-შემთხვევითი ფუნქცია. მხოლოდ დაშიფვრის სახელის შედარება ჩვეულებრივი შეცდომაა, რადგან ორ თანატოლს შეუძლია AES-256-ზე შეთანხმდეს და მაინც არ დაეთანხმოს SHA-1 და SHA-256-ის საკითხში. ჩავარდნილ ეტაპზე გვერდიგვერდ ჩაწერეთ შემოთავაზებული და დაშვებული ნაკრებები, შემდეგ მოძებნეთ ცარიელი კვეთა.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

ასევე შეამოწმეთ, რომ ორივე იმპლემენტაცია მხარს უჭერს იმას, რაც თქვენ დააკონფიგურირეთ. სხვა პლატფორმიდან კოპირებული სახელი სინტაქსურად ნაცნობი შეიძლება ჩანდეს მაშინ როცა დანამატი ან იმპლემენტაცია საერთოდ არ არსებობს.

IKE ნაკრები და ESP ნაკრები სხვადასხვა ობიექტია

IKE წინადადების რედაქტირება უარყოფილ CHILD წინადადებას არ შეასწორებს, და პირიქითაც მართალია. strongSwan-ში ეს ცალკე პარამეტრებია, დაახლოებით proposals = aes256-sha256-modp2048 IKE SA-სთვის და ცალკე ESP სია CHILD SA-სთვის. შეცვალეთ ჩავარდნილი გაცვლის შესაბამისი სია, შემდეგ ხელახლა წაიკითხეთ ჟურნალი იმის ნაცვლად, რომ ჩათვალოთ, თითქოს შესწორებამ იმუშავა.

CHILD SA-სთვის შესაბამისი პარამეტრია ESP წინადადებათა სია და არა IKE-ის. IKE სტრიქონის მასში კოპირება ქმნის კონფიგურაციას, რომელიც ირჩევა, მაგრამ არასწორ ობიექტზე მოლაპარაკებას აწარმოებს.

მომუშავე გვირაბი, რომელიც გასაღების განახლებაზე ვარდება

თუ გვირაბი საათი მუშაობდა და შემდეგ ჩავარდა, საწყისი მოლაპარაკება პრობლემა არ არის. გასაღების განახლებამ შეიძლება სხვა პირობები გამოსცადოს: განსხვავებული გასაღების გაცვლის ჯგუფი პირველი გაცვლის შემდეგ, სიცოცხლის ხანგრძლივობის შეუსაბამობა თანატოლებს შორის ან შეცვლილი პასუხისმგებლის პოლიტიკა. შეინახეთ განახლების დროის ნიშანი და ასოციაციის იდენტიფიკატორები ორივე მხრიდან. ასეთი ნიმუში განახლებისას წინადადებების შედარებას მოითხოვს და არა უფრო გრძელ ვადას. ვადის შეცვლა სიმპტომს მალავს და შეუსაბამობას ადგილზე ტოვებს.

ipsec statusall აჩვენებს თითოეულ ასოციაციას და რეალურად შეთანხმებულ ალგორითმებს. ეს გამოსავალი ყველაზე სწრაფი გზაა იმის დასადგენად, რომელი სია გამოიყენეს, და ის გამოყოფს კონფიგურაციის შეცდომას იმ ძველი გვირაბისგან, რომელიც არასდროს განახლდა.

ipsec statusall | grep -E "IKE:|ESP:"

აირჩიეთ კვეთა, შემდეგ დაადასტურეთ ორივე ფაზა

სთხოვეთ ადმინისტრატორს აირჩიოს დოკუმენტირებული თანამედროვე კვეთა, რომელსაც ორივე თანატოლი უჭერს მხარს, და ჩაწეროს იგი. ნუ მოაგვარებთ შეცდომას ყველა ძველი ალგორითმის ჩართვით ან იდენტობის შემოწმების გამორთვით, რადგან არც ერთი არ გამომდინარეობს უარყოფიდან. ცვლილების შემდეგ დაამყარეთ ახალი კავშირი და შემდეგ აიძულეთ გასაღების განახლება. მხოლოდ პირველი კავშირი არ ამტკიცებს, რომ განახლების გზა მუშაობს.

შეინახეთ მიღებული კომბინაცია ფირმვეარის ვერსიებთან ერთად. თუ შემდეგი შეცდომა ტრაფიკის სელექტორებს ეხება, ცალკე განიხილეთ, რადგან კრიპტოგრაფიაზე შეთანხმება არაფერს ამბობს იმაზე, თუ რომელ ქვექსელებს იცავს გვირაბი. strongSwan-ის წინადადებების დოკუმენტაცია ორივე სიის სინტაქსს მოიცავს.