Windows және strongSwan: IKE ұсынысындағы төрт трансформаны сәйкестендіру
Кілт алмасу тобы туралы тараптар келіспесе, ортақ шифр жеткіліксіз. Төрт трансформаның барлығын салыстырып, содан кейін бір шектелген профиль саясатын қолданыңыз.
Екі тарап та AES-ты қолдайды, екеуі де SHA-256-ны қабылдайды, бірақ туннель бәрібір көтерілмейді. Ұсыныс ешкім салыстырмаған құрамдаста сәтсіз аяқталды, әдетте кілт алмасу тобында. Бұл нұсқаулық бірдеңені өзгертуден бұрын нақты алмасуды оқиды, бір шектелген саясатты қолданады және алдыңғы параметрлерді қалпына келтіретін кері қайтаруды қалдырады.
Топты өзгертуден бұрын сәтсіздікті оқыңыз
«Саясат сәйкестігі қатесі» — бұл қорытынды, диагноз емес. Ол өзара қолайлы ұсыныс табылмағанын білдіреді және қай құрамдас қабылданбағаны туралы ештеңе айтпайды. Оны нақты топ туралы дәлел ретінде емес, тергеудің басы ретінде қарастырыңыз.
Жауап әдетте сервер жағында болады. Тиісті деңгейдегі strongSwan журналы клиенттен алынған ұсынысты және қабылдауға конфигурацияланған ұсынысты тізімдейді, ал екі тізімнің айырмашылығы сәтсіз құрамдасты атайды.
Клиент ескі форум жазбасы айтқанды ұсынады деп болжамаңыз. Белсенді профиль және оның орнатылған саясаты ұсынылатын тізімді анықтайды, ал жаңартылған Windows құрастырмасы сіз көшіріп жатқан скриншоттағыдан өзге жиынтық ұсынуы мүмкін.
Екі тізімді де жазып алыңыз. Төрт трансформа позициясы мен бір топ — қысқа тізім, оны жол-жолымен салыстыру кез келген эксперименттен аз уақыт алады. Төрт позицияны көз алдында ұстау оңай. Журнал файлын — олай емес.
Бір таныс атауды емес, әрбір трансформаны салыстырыңыз
IKE ұсынысы — барлығы сәйкесуі тиіс таңдаулар жиынтығы. Шифрлау келіссөзді қорғайды, тұтастық немесе PRF оны куәландырады, ал Diffie-Hellman тобы жаңа кілт материалын жасайды. Алғашқы екеуінде сәйкесіп, үшіншісінде өзгешеленетін ұсыныс екі тарап үшін де қабылданбайды.
Мұнда шатасатын екі Windows өрісі әртүрлі фазаларға жатады. DHGroup IKE кілт алмасуына қатысты, ал PfsGroup трафикті қорғайтын балалық ассоциацияға қатысты. Екіншісін өзгерту біріншідегі сәтсіздікті түзетпейді.
Топ атаулары іске асырулар арасында өзгеше, және бұл шатасудың бөлек көзі. strongSwan modp2048 және ecp256 деп жазады, ал Windows Group14 мен ECP256 сияқты санама атауларын пайдаланады, сондықтан салыстыру алдында аудару керек. Екі атауы бар екі бағанды жазба ұстаңыз. Сонда келесі сәйкессіздік секундтарда жіктеледі.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
Бір толық және шектелген саясатты қолданыңыз
Жергілікті IKEv2 профилі үшін қолдау көрсетілетін құрал — әр қосылымға арналған IPsec саясаты, ол өріс-өрісімен емес, бір нысан ретінде орнатылады. Алдымен алдын ала қарап шығыңыз, содан кейін қолданыңыз, ал алдыңғы параметрлерді өзгеріс жазбасында сақтаңыз.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf ауыстырып-қосқышы жергілікті өзгерісті алдын ала көрсетеді және ештеңе қолданбайды. Бұл пайдалы әрі кең тараған тұзақ та, өйткені алдын ала қарау параметрлердің жергілікті cmdlet үшін синтаксистік тұрғыдан қолайлы екенін ғана дәлелдейді. Ол шлюз алынған ұсынысты қабылдай ма, жоқ па — ол туралы ештеңе айтпайды.
Сол жерде ауқымды да сәйкестендіріңіз. Барлық пайдаланушылар қоймасындағы қосылымға тиісті барлық-пайдаланушы параметрі қажет, ал сол көрсетілетін атаумен пайдаланушыға арналған профильді өңдеу туннель пайдаланбайтын басқа нысанды өзгертеді.
Содан кейін сынақтан бұрын strongSwan жағын сол жиынтыққа келтіріңіз. Екі ұшта үйлестірілген өзгеріс — осының жинақталатын жалғыз нұсқасы; бір жағын өзгертіп, қайта-қайта қайталау сол қабылдамауға толы журнал береді.
Алмасуды және кілтті жаңартуды бөлек тексеріңіз
Сәтті қосылым — бір байқау, ал кілтті жаңарту — басқа байқау. Бастапқы IKE келіссөзі бір параметрлер жиынтығын пайдаланады, ал трафикті тасымалдайтын балалық ассоциация кейінірек өз саясатымен қайта келісілуі мүмкін. Қосылып, кейін біраз уақыттан соң құлайтын конфигурация әдетте екінші жағдай.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *Бірінші пәрмен сервердің орнатылған ассоциацияларға көзқарасын көрсетеді, оның ішінде балалық SA және оның қалған өмірі. Екіншісі клиент профилінде қазір не бар екенін көрсетеді, және сіз орнатқан саясаттың күшіндегі саясат екенін растаудың жалғыз жолы осы.
Сәттілік жарияламас бұрын толық кілт жаңартуын бақылаңыз. Бұл байланысты балалық ассоциация ауыстырылатындай ұзақ ұстап, содан кейін трафиктің жалғасатынын растауды білдіреді. Саясат сәйкессіздіктерінің көбі осы қадамда жасырылады, өйткені бастапқы келіссөз жаңарту қабылдамайтын жиынтықпен де сәтті болуы мүмкін.
Кері қайтару — алдыңғы параметрлер жиынтығы, жеңілдік беретін балама емес. Егер клиент тек әлсіз ескі топ ұсынған болса, жауап — клиент пен сервердің ортақ саясатын жақсарту, ал бұл топты кез келген болашақ тарап оған дейін төмен келісе алатын шлюзге қосу емес.
Төрт параметрді, топты, қосылым ауқымын және кілтті жаңарту нәтижесін жазыңыз. Бұл қысқа жазба, және дәл осы нұсқаулық пен туннельдің бір кезде көтерілуі туралы әңгіменің айырмашылығы.