IKEv2 NO_PROPOSAL_CHOSEN: қай кезең жинақты қабылдамады?

Журналдағы NO_PROPOSAL_CHOSEN адамдарды алдын ала бөлісілген кілтке жібереді, ал қате өзгерістен кейін де қалады. Бұл ешқашан тіркелгі деректерінің мәселесі болған емес: теңдес сол айырбас үшін ұсынылған әрбір ұсынысты қабылдамады, бұл сәйкестік емес, алгоритмдер туралы мәлімдеме. Бірінші пайдалы сұрақ қай алгоритмді өңдеу керектігі емес, қай айырбас қабылданбағаны. Кез келген салыстырудан бұрын соған жауап беріңіз. Содан кейін ұсынылған толық жинақты теңдес рұқсат ететін толық жинақпен салыстырыңыз.

Алдымен: қай айырбас қабылданбады

IKEv2 екі түрлі бірлестікті келіседі. IKE SA келіссөздің өзін қорғайды, ал CHILD SA трафикті қорғайды. Әрқайсысының өз ұсыныс жинағы бар және әрқайсысы бірдей хабарламамен сәтсіз аяқталуы мүмкін. Бастапқы IKE келіссөзі кезіндегі бас тарту мен CHILD келіссөзі кезіндегі бас тарту әртүрлі түзетулерді қажет етеді, ал журнал әдетте айырбасты хабарламадан бір-екі жол жоғары атайды. Ол екі жолды бірге оқыңыз, әйтпесе қате ұсыныс тізімін өңдейсіз.

Хабарламаның өзі айырбасты анықтамайды. Оның үстіндегі жол келісіліп жатқан SA-ны атайды, ал сол атау тексерілетін ұсыныс тізімін көрсетеді.

Толық жинақтарды салыстырыңыз, жеке кілт сөздерді емес

Ұсыныс — бұл комбинация: шифрлау алгоритмі, тұтастық немесе AEAD, кілт алмасу тобы және кез келген псевдокездейсоқ функция. Тек шифрлау атауын салыстыру әдеттегі қате, өйткені екі теңдес AES-256 туралы келісіп, SHA-1 мен SHA-256 мәселесінде келісе алмауы мүмкін. Сәтсіз кезеңде ұсынылған және рұқсат етілген жинақтарды қатар жазып, содан кейін бос қиылысты іздеңіз.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Сондай-ақ екі іске асыру да сіз конфигурациялаған нәрсені қолдайтынын тексеріңіз. Басқа платформадан көшірілген атау синтаксистік тұрғыдан таныс көрінуі мүмкін ал плагин немесе іске асыру мүлдем жоқ.

IKE жинағы мен ESP жинағы — әртүрлі нысандар

IKE ұсынысын өңдеу қабылданбаған CHILD ұсынысын түзетпейді, керісінше де дұрыс. strongSwan ішінде бұл бөлек параметрлер, шамамен IKE SA үшін proposals = aes256-sha256-modp2048 және CHILD SA үшін бөлек ESP тізімі. Сәтсіз айырбасқа сәйкес келетін тізімді өзгертіңіз, содан кейін түзету жұмыс істеді деп болжамдай, журналды қайта оқыңыз.

CHILD SA үшін тиісті параметр — ESP ұсыныс тізімі, IKE тізімі емес. IKE жолын оған көшіру талданатын, бірақ қате нысанды келісетін конфигурация жасайды.

Жұмыс істеп тұрған туннель кілтті жаңарту кезінде сәтсіз болады

Егер туннель бір сағат жұмыс істеп, содан кейін сәтсіз болса, бастапқы келіссөз мәселе емес. Кілтті жаңарту басқа шарттарды сынауы мүмкін: бірінші айырбастан кейін басқа кілт алмасу тобы, теңдестер арасындағы өмір сүру ұзақтығының сәйкессіздігі немесе өзгерген жауап беруші саясаты. Жаңарту уақыт белгісін және екі жақтан бірлестік идентификаторларын сақтаңыз. Мұндай үлгі жаңарту кезінде ұсыныстарды салыстыруды қажет етеді, ұзағырақ таймаутты емес. Таймаутты өзгерту симптомды жасырады және сәйкессіздікті орнында қалдырады.

ipsec statusall әрбір бірлестікті және нақты келісілген алгоритмдерді көрсетеді. Бұл шығыс қай тізімнің қолданылғанын растаудың ең жылдам жолы және конфигурация қатесін ешқашан қайта келісілмеген ескірген туннельден ажыратады.

ipsec statusall | grep -E "IKE:|ESP:"

Қиылысты таңдаңыз, содан кейін екі фазаны растаңыз

Әкімшіге екі теңдес қолдайтын құжатталған заманауи қиылысты таңдауды және оны жазып қоюды сұраңыз. Қатені барлық ескі алгоритмдерді қосу немесе сәйкестікті тексеруді өшіру арқылы шешпеңіз, өйткені екеуі де бас тартудан туындамайды. Өзгерістен кейін жаңа қосылым орнатыңыз, содан кейін кілтті жаңартуды мәжбүрлеңіз. Тек бірінші қосылым жаңарту жолының жұмыс істейтінін дәлелдемейді.

Қабылданған комбинацияны микробағдарлама нұсқаларымен бірге сақтаңыз. Егер келесі қате трафик селекторларына қатысты болса, оны бөлек қарастырыңыз, өйткені криптография туралы келісім туннельдің қай ішкі желілерді қорғайтыны туралы ештеңе айтпайды. strongSwan ұсыныстар құжаттамасы екі тізімнің синтаксисін қамтиды.