Windows და strongSwan: IKE-ის შეთავაზებაში ოთხი ტრანსფორმის შეხამება
საერთო შიფრი საკმარისი არ არის, როცა მხარეები გასაღების გაცვლის ჯგუფზე არ თანხმდებიან. შეადარეთ ოთხივე ტრანსფორმა და შემდეგ გამოიყენეთ ერთი შეზღუდული პროფილის პოლიტიკა.
ორივე მხარე მხარს უჭერს AES-ს, ორივე იღებს SHA-256-ს, და გვირაბი მაინც არ ადის. შეთავაზება ჩავარდა კომპონენტზე, რომელიც არავის შეუდარებია, ჩვეულებრივ გასაღების გაცვლის ჯგუფზე. ეს სახელმძღვანელო კითხულობს რეალურ გაცვლას სანამ რამეს შეცვლის, იყენებს ერთ შეზღუდულ პოლიტიკას და ტოვებს უკუქცევას, რომელიც აღადგენს წინა პარამეტრებს.
წაიკითხეთ ჩავარდნა სანამ ჯგუფს შეცვლით
„პოლიტიკის შესაბამისობის შეცდომა“ შეჯამებაა და არა დიაგნოზი. ის ნიშნავს, რომ ურთიერთმისაღები შეთავაზება არ მოიძებნა, და არაფერს ამბობს იმაზე, რომელი კომპონენტი იქნა უარყოფილი. მოეპყარით მას როგორც გამოძიების დასაწყისს და არა როგორც მტკიცებულებას კონკრეტულ ჯგუფზე.
პასუხი ჩვეულებრივ სერვერის მხარესაა. strongSwan-ის ჟურნალი შესაბამის დონეზე ჩამოთვლის კლიენტისგან მიღებულ შეთავაზებას და იმ შეთავაზებას, რომლის მიღებაზეც ის კონფიგურირებულია, და ორ სიას შორის სხვაობა ასახელებს ჩავარდნილ კომპონენტს.
არ ჩათვალოთ, რომ კლიენტი გთავაზობთ იმას, რასაც ძველი ფორუმის პოსტი ამბობს. აქტიური პროფილი და მისი დაინსტალირებული პოლიტიკა განსაზღვრავს შეთავაზებულ სიას, და განახლებულ Windows-ის ვერსიას შეიძლება სხვა ნაკრები შესთავაზოს, ვიდრე იმ ეკრანის სურათზეა, რომლიდანაც აკოპირებთ.
ჩაწერეთ ორივე სია. ოთხი ტრანსფორმის პოზიცია და ერთი ჯგუფი მოკლე სიაა, და მისი სტრიქონ-სტრიქონ შედარება ნაკლებ დროს მოითხოვს, ვიდრე ნებისმიერი ექსპერიმენტი. ოთხი პოზიცია ადვილად სათვალთვალოა. ჟურნალის ფაილი არა.
შეადარეთ ყოველი ტრანსფორმა და არა ერთი ნაცნობი სახელი
IKE-ის შეთავაზება არჩევანების ერთობლიობაა, რომლებიც ყველა უნდა დაემთხვეს. დაშიფვრა იცავს მოლაპარაკებას, მთლიანობა ან PRF ადასტურებს მას, და Diffie-Hellman-ის ჯგუფი ქმნის ახალ გასაღების მასალას. შეთავაზება, რომელიც პირველ ორში ემთხვევა და მესამეში განსხვავდება, მაინც მიუღებელია ორივე მხარისთვის.
ორი Windows-ის ველი, რომლებიც აქ ირევა, სხვადასხვა ფაზას განეკუთვნება. DHGroup ეხება IKE-ის გასაღების გაცვლას, ხოლო PfsGroup შვილობილ ასოციაციას, რომელიც იცავს ტრაფიკს. მეორის შეცვლა ვერ გაასწორებს პირველში არსებულ ჩავარდნას.
ჯგუფების სახელები განსხვავდება იმპლემენტაციებს შორის და ეს დაბნეულობის ცალკე წყაროა. strongSwan წერს modp2048 და ecp256, ხოლო Windows იყენებს ჩამოთვლის სახელებს, როგორიცაა Group14 და ECP256, ამიტომ შედარებამ უნდა თარგმნოს სანამ შეადარებს. შეინახეთ ორ სვეტიანი ჩანაწერი ორივე სახელით. მაშინ შემდეგი შეუსაბამობა წამებში კლასიფიცირდება.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
გამოიყენეთ ერთი სრული და შეზღუდული პოლიტიკა
მშობლიური IKEv2 პროფილისთვის მხარდაჭერილი ინსტრუმენტია კავშირზე დაფუძნებული IPsec პოლიტიკა, რომელიც ერთ ობიექტად დგინდება და არა ველ-ველად. ჯერ გადახედეთ, შემდეგ გამოიყენეთ, და შეინახეთ წინა პარამეტრები ცვლილების ჩანაწერში.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf გადამრთველი გადახედავს ლოკალურ ცვლილებას და არაფერს იყენებს. ეს სასარგებლოა და ამავდროულად გავრცელებული ხაფანგია, რადგან გადახედვა მხოლოდ იმას ამტკიცებს, რომ პარამეტრები სინტაქსურად მისაღებია ლოკალური cmdlet-ისთვის. ის არაფერს ამბობს იმაზე, მიიღებს თუ არა კარიბჭე მიღებულ შეთავაზებას.
ამავდროულად შეათანხმეთ ფარგლებიც. ყველა მომხმარებლის საცავში არსებულ კავშირს სჭირდება შესაბამისი ყველა-მომხმარებლის პარამეტრი, ხოლო იმავე ჩვენების სახელის მქონე ერთი მომხმარებლის პროფილის რედაქტირება ცვლის სხვა ობიექტს, რომელსაც გვირაბი არ იყენებს.
შემდეგ ტესტამდე strongSwan-ის მხარე მოიყვანეთ იმავე ნაკრებზე. ორივე ბოლოში შეთანხმებული ცვლილება ერთადერთი ვარიანტია, რომელიც იკრიბება; ერთი მხარის შეცვლა და განმეორებითი ცდა ქმნის იმავე უარით სავსე ჟურნალს.
შეამოწმეთ გაცვლა და გასაღების განახლება ცალ-ცალკე
წარმატებული კავშირი ერთი დაკვირვებაა, ხოლო გასაღების განახლება მეორე. საწყისი IKE მოლაპარაკება იყენებს ერთ პარამეტრთა ნაკრებს, და ტრაფიკის მატარებელი შვილობილი ასოციაცია მოგვიანებით შეიძლება ხელახლა მოილაპარაკოს საკუთარი პოლიტიკით. კონფიგურაცია, რომელიც უერთდება და შემდეგ გარკვეული დროის შემდეგ ვარდება, ჩვეულებრივ მეორე შემთხვევაა.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *პირველი ბრძანება აჩვენებს სერვერის ხედს დამყარებულ ასოციაციებზე, მათ შორის შვილობილ SA-ს და მის დარჩენილ სიცოცხლეს. მეორე აჩვენებს, რა აქვს ახლა კლიენტის პროფილს, და ეს ერთადერთი გზაა დაადასტუროთ, რომ თქვენ მიერ დაყენებული პოლიტიკაა მოქმედი პოლიტიკა.
დააკვირდით სრულ გასაღების განახლებას სანამ წარმატებას გამოაცხადებთ. ეს ნიშნავს კავშირის საკმარისად ხანგრძლივად ღიად დატოვებას, რომ შვილობილი ასოციაცია შეიცვალოს, და შემდეგ ტრაფიკის გაგრძელების დადასტურებას. პოლიტიკის შეუსაბამობების უმეტესობა სწორედ ამ ნაბიჯში იმალება, რადგან საწყისი მოლაპარაკება შეიძლება წარმატებით დასრულდეს ისეთი ნაკრებით, რომელსაც განახლება არ იღებს.
უკუქცევა წინა პარამეტრთა ნაკრებია და არა დამთმობი ალტერნატივა. თუ კლიენტმა მხოლოდ სუსტი ძველი ჯგუფი შესთავაზა, პასუხი კლიენტისა და სერვერის საერთო პოლიტიკის გაუმჯობესებაა და არა იმ ჯგუფის კარიბჭეზე დამატება, სადაც ყოველ მომავალ მხარეს შეეძლება მისკენ ქვემოთ მოლაპარაკება.
ჩაწერეთ ოთხი პარამეტრი, ჯგუფი, კავშირის ფარგლები და გასაღების განახლების შედეგი. ეს მოკლე ჩანაწერია და სწორედ ის არის განსხვავება სახელმძღვანელოსა და იმ ამბავს შორის, თუ როგორ ავიდა ერთხელ გვირაბი.