Windows ಮತ್ತು strongSwan: IKE ಪ್ರಸ್ತಾವದಲ್ಲಿ ನಾಲ್ಕು ರೂಪಾಂತರಗಳನ್ನು ಹೊಂದಿಸುವುದು
ಕೀಲಿ ವಿನಿಮಯ ಗುಂಪಿನ ಬಗ್ಗೆ ಎರಡೂ ಕಡೆ ಒಪ್ಪದಿದ್ದಾಗ ಸಾಮಾನ್ಯ ಸೈಫರ್ ಸಾಕಾಗುವುದಿಲ್ಲ. ನಾಲ್ಕೂ ರೂಪಾಂತರಗಳನ್ನು ಹೋಲಿಸಿ, ನಂತರ ಒಂದು ಸೀಮಿತ ಪ್ರೊಫೈಲ್ ನೀತಿಯನ್ನು ಅನ್ವಯಿಸಿ.
ಎರಡೂ ಕಡೆ AES ಅನ್ನು ಬೆಂಬಲಿಸುತ್ತವೆ, ಎರಡೂ SHA-256 ಅನ್ನು ಸ್ವೀಕರಿಸುತ್ತವೆ, ಆದರೂ ಸುರಂಗ ಏರುವುದಿಲ್ಲ. ಪ್ರಸ್ತಾವವು ಯಾರೂ ಹೋಲಿಸದ ಘಟಕದಲ್ಲಿ ವಿಫಲವಾಯಿತು, ಸಾಮಾನ್ಯವಾಗಿ ಕೀಲಿ ವಿನಿಮಯ ಗುಂಪಿನಲ್ಲಿ. ಈ ಮಾರ್ಗದರ್ಶಿ ಏನನ್ನೂ ಬದಲಿಸುವ ಮೊದಲು ನಿಜವಾದ ವಿನಿಮಯವನ್ನು ಓದುತ್ತದೆ, ಒಂದು ಸೀಮಿತ ನೀತಿಯನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ ಮತ್ತು ಹಿಂದಿನ ನಿಯತಾಂಕಗಳನ್ನು ಮರುಸ್ಥಾಪಿಸುವ ರೋಲ್ಬ್ಯಾಕ್ ಅನ್ನು ಬಿಡುತ್ತದೆ.
ಗುಂಪನ್ನು ಬದಲಿಸುವ ಮೊದಲು ವೈಫಲ್ಯವನ್ನು ಓದಿ
«ನೀತಿ ಹೊಂದಾಣಿಕೆ ದೋಷ» ಸಾರಾಂಶ, ರೋಗನಿರ್ಣಯ ಅಲ್ಲ. ಪರಸ್ಪರ ಸ್ವೀಕಾರಾರ್ಹ ಪ್ರಸ್ತಾವ ಸಿಗಲಿಲ್ಲ ಎಂದರ್ಥ, ಮತ್ತು ಯಾವ ಘಟಕ ತಿರಸ್ಕೃತವಾಯಿತು ಎಂಬುದನ್ನು ಅದು ಹೇಳುವುದಿಲ್ಲ. ಅದನ್ನು ತನಿಖೆಯ ಆರಂಭವೆಂದು ಪರಿಗಣಿಸಿ, ನಿರ್ದಿಷ್ಟ ಗುಂಪಿನ ಬಗ್ಗೆ ಸಾಕ್ಷ್ಯವೆಂದಲ್ಲ.
ಉತ್ತರ ಸಾಮಾನ್ಯವಾಗಿ ಸರ್ವರ್ ಕಡೆಯಲ್ಲಿರುತ್ತದೆ. ಸೂಕ್ತ ಮಟ್ಟದಲ್ಲಿ strongSwan ಲಾಗ್ ಕ್ಲೈಂಟ್ನಿಂದ ಪಡೆದ ಪ್ರಸ್ತಾವ ಮತ್ತು ಸ್ವೀಕರಿಸಲು ಸಂರಚಿಸಲಾದ ಪ್ರಸ್ತಾವವನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಎರಡು ಪಟ್ಟಿಗಳ ವ್ಯತ್ಯಾಸ ವಿಫಲವಾದ ಘಟಕವನ್ನು ಹೆಸರಿಸುತ್ತದೆ.
ಹಳೆಯ ಫೋರಂ ಪೋಸ್ಟ್ ಹೇಳುವುದನ್ನು ಕ್ಲೈಂಟ್ ನೀಡುತ್ತದೆ ಎಂದು ಊಹಿಸಬೇಡಿ. ಸಕ್ರಿಯ ಪ್ರೊಫೈಲ್ ಮತ್ತು ಅದರ ಸ್ಥಾಪಿತ ನೀತಿ ನೀಡುವ ಪಟ್ಟಿಯನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ, ಮತ್ತು ನವೀಕರಿಸಿದ Windows ಬಿಲ್ಡ್ ನೀವು ನಕಲಿಸುತ್ತಿರುವ ಸ್ಕ್ರೀನ್ಶಾಟ್ನಲ್ಲಿರುವುದಕ್ಕಿಂತ ಬೇರೆ ಗುಂಪನ್ನು ನೀಡಬಹುದು.
ಎರಡೂ ಪಟ್ಟಿಗಳನ್ನು ಬರೆದಿಡಿ. ನಾಲ್ಕು ರೂಪಾಂತರ ಸ್ಥಾನಗಳು ಮತ್ತು ಒಂದು ಗುಂಪು ಚಿಕ್ಕ ಪಟ್ಟಿ, ಮತ್ತು ಅದನ್ನು ಸಾಲಿನಿಂದ ಸಾಲು ಹೋಲಿಸುವುದು ಯಾವುದೇ ಪ್ರಯೋಗಕ್ಕಿಂತ ಕಡಿಮೆ ಸಮಯ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ. ನಾಲ್ಕು ಸ್ಥಾನಗಳನ್ನು ಕಣ್ಣಿನಲ್ಲಿ ಇಟ್ಟುಕೊಳ್ಳುವುದು ಸುಲಭ. ಲಾಗ್ ಫೈಲ್ ಅಲ್ಲ.
ಒಂದು ಪರಿಚಿತ ಹೆಸರನ್ನಲ್ಲ, ಪ್ರತಿ ರೂಪಾಂತರವನ್ನು ಹೋಲಿಸಿ
IKE ಪ್ರಸ್ತಾವವು ಎಲ್ಲವೂ ಹೊಂದಬೇಕಾದ ಆಯ್ಕೆಗಳ ಗುಂಪು. ಎನ್ಕ್ರಿಪ್ಷನ್ ಮಾತುಕತೆಯನ್ನು ರಕ್ಷಿಸುತ್ತದೆ, ಸಮಗ್ರತೆ ಅಥವಾ PRF ಅದನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ, ಮತ್ತು Diffie-Hellman ಗುಂಪು ಹೊಸ ಕೀಲಿ ಸಾಮಗ್ರಿಯನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ. ಮೊದಲ ಎರಡರಲ್ಲಿ ಹೊಂದಿ ಮೂರನೆಯದರಲ್ಲಿ ಭಿನ್ನವಾಗುವ ಪ್ರಸ್ತಾವ ಎರಡೂ ಕಡೆಗೆ ಇನ್ನೂ ಸ್ವೀಕಾರಾರ್ಹವಲ್ಲ.
ಇಲ್ಲಿ ಗೊಂದಲಕ್ಕೀಡಾಗುವ ಎರಡು Windows ಕ್ಷೇತ್ರಗಳು ಬೇರೆ ಬೇರೆ ಹಂತಗಳಿಗೆ ಸೇರಿವೆ. DHGroup IKE ಕೀಲಿ ವಿನಿಮಯಕ್ಕೆ ಅನ್ವಯಿಸುತ್ತದೆ, ಆದರೆ PfsGroup ಸಂಚಾರವನ್ನು ರಕ್ಷಿಸುವ ಚೈಲ್ಡ್ ಸಂಘಕ್ಕೆ ಅನ್ವಯಿಸುತ್ತದೆ. ಎರಡನೆಯದನ್ನು ಬದಲಿಸುವುದರಿಂದ ಮೊದಲನೆಯ ವೈಫಲ್ಯ ಸರಿಪಡಿಸಲಾಗದು.
ಗುಂಪುಗಳ ಹೆಸರುಗಳು ಅನುಷ್ಠಾನಗಳ ನಡುವೆ ಭಿನ್ನ, ಮತ್ತು ಇದು ಗೊಂದಲದ ಪ್ರತ್ಯೇಕ ಮೂಲ. strongSwan modp2048 ಮತ್ತು ecp256 ಎಂದು ಬರೆಯುತ್ತದೆ, ಆದರೆ Windows Group14 ಮತ್ತು ECP256 ನಂತಹ ಎಣಿಕೆ ಹೆಸರುಗಳನ್ನು ಬಳಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಹೋಲಿಸುವ ಮೊದಲು ಭಾಷಾಂತರಿಸಬೇಕು. ಎರಡೂ ಹೆಸರುಗಳಿರುವ ಎರಡು ಕಾಲಮ್ಗಳ ಟಿಪ್ಪಣಿ ಇಟ್ಟುಕೊಳ್ಳಿ. ಆಗ ಮುಂದಿನ ಅಸಂಗತಿ ಸೆಕೆಂಡುಗಳಲ್ಲಿ ವರ್ಗೀಕರಣಗೊಳ್ಳುತ್ತದೆ.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
ಒಂದು ಪೂರ್ಣ ಮತ್ತು ಸೀಮಿತ ನೀತಿಯನ್ನು ಅನ್ವಯಿಸಿ
ಸ್ಥಳೀಯ IKEv2 ಪ್ರೊಫೈಲ್ಗೆ ಬೆಂಬಲಿತ ಸಾಧನವೆಂದರೆ ಪ್ರತಿ ಸಂಪರ್ಕದ IPsec ನೀತಿ, ಅದನ್ನು ಕ್ಷೇತ್ರ-ಕ್ಷೇತ್ರವಾಗಿ ಅಲ್ಲ, ಒಂದು ಆಬ್ಜೆಕ್ಟ್ ಆಗಿ ಸೆಟ್ ಮಾಡಲಾಗುತ್ತದೆ. ಮೊದಲು ಮುನ್ನೋಟ ನೋಡಿ, ನಂತರ ಅನ್ವಯಿಸಿ, ಮತ್ತು ಹಿಂದಿನ ನಿಯತಾಂಕಗಳನ್ನು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಇರಿಸಿ.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf ಸ್ವಿಚ್ ಸ್ಥಳೀಯ ಬದಲಾವಣೆಯ ಮುನ್ನೋಟ ತೋರಿಸುತ್ತದೆ ಮತ್ತು ಏನನ್ನೂ ಅನ್ವಯಿಸುವುದಿಲ್ಲ. ಇದು ಉಪಯುಕ್ತ ಮತ್ತು ಅದೇ ಸಮಯದಲ್ಲಿ ಸಾಮಾನ್ಯ ಬಲೆ, ಏಕೆಂದರೆ ಮುನ್ನೋಟವು ನಿಯತಾಂಕಗಳು ಸ್ಥಳೀಯ cmdlet ಗೆ ವಾಕ್ಯರಚನೆಯ ದೃಷ್ಟಿಯಿಂದ ಸ್ವೀಕಾರಾರ್ಹ ಎಂದು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಗೇಟ್ವೇ ಫಲಿತಾಂಶದ ಪ್ರಸ್ತಾವವನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ಅದು ಹೇಳುವುದಿಲ್ಲ.
ಅಲ್ಲೇ ಇದ್ದು ವ್ಯಾಪ್ತಿಯನ್ನೂ ಹೊಂದಿಸಿ. ಎಲ್ಲಾ ಬಳಕೆದಾರರ ಸ್ಟೋರ್ನಲ್ಲಿರುವ ಸಂಪರ್ಕಕ್ಕೆ ಸಂಬಂಧಿತ ಎಲ್ಲಾ-ಬಳಕೆದಾರ ನಿಯತಾಂಕ ಬೇಕು, ಮತ್ತು ಅದೇ ಪ್ರದರ್ಶನ ಹೆಸರಿನ ಪ್ರತಿ-ಬಳಕೆದಾರ ಪ್ರೊಫೈಲ್ ಸಂಪಾದಿಸುವುದು ಸುರಂಗ ಬಳಸದ ಬೇರೆ ಆಬ್ಜೆಕ್ಟ್ ಅನ್ನು ಬದಲಿಸುತ್ತದೆ.
ನಂತರ ಪರೀಕ್ಷೆಯ ಮೊದಲು strongSwan ಬದಿಯನ್ನು ಅದೇ ಗುಂಪಿಗೆ ತನ್ನಿ. ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಸಮನ್ವಿತ ಬದಲಾವಣೆಯೇ ಇದು ಒಮ್ಮುಖವಾಗುವ ಏಕೈಕ ಆವೃತ್ತಿ; ಒಂದು ಬದಿ ಬದಲಿಸಿ ಪದೇ ಪದೇ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುವುದು ಅದೇ ತಿರಸ್ಕಾರದಿಂದ ತುಂಬಿದ ಲಾಗ್ ನೀಡುತ್ತದೆ.
ವಿನಿಮಯ ಮತ್ತು ಕೀಲಿ ನವೀಕರಣವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರಿಶೀಲಿಸಿ
ಯಶಸ್ವಿ ಸಂಪರ್ಕ ಒಂದು ಅವಲೋಕನ, ಮತ್ತು ಕೀಲಿ ನವೀಕರಣ ಇನ್ನೊಂದು. ಆರಂಭಿಕ IKE ಮಾತುಕತೆ ಒಂದು ನಿಯತಾಂಕ ಗುಂಪನ್ನು ಬಳಸುತ್ತದೆ, ಮತ್ತು ಸಂಚಾರವನ್ನು ಸಾಗಿಸುವ ಚೈಲ್ಡ್ ಸಂಘ ನಂತರ ತನ್ನದೇ ನೀತಿಯೊಂದಿಗೆ ಮರುಮಾತುಕತೆ ನಡೆಸಬಹುದು. ಸಂಪರ್ಕಗೊಂಡು ನಂತರ ಸ್ವಲ್ಪ ಸಮಯದ ನಂತರ ಬೀಳುವ ಸಂರಚನೆ ಸಾಮಾನ್ಯವಾಗಿ ಎರಡನೆಯ ಪ್ರಕರಣ.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *ಮೊದಲ ಆದೇಶ ಸ್ಥಾಪಿತ ಸಂಘಗಳ ಬಗ್ಗೆ ಸರ್ವರ್ನ ದೃಷ್ಟಿಕೋನವನ್ನು ತೋರಿಸುತ್ತದೆ, ಚೈಲ್ಡ್ SA ಮತ್ತು ಅದರ ಉಳಿದ ಆಯುಷ್ಯ ಸೇರಿದಂತೆ. ಎರಡನೆಯದು ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಈಗ ಏನಿದೆ ಎಂಬುದನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ನೀವು ಸೆಟ್ ಮಾಡಿದ ನೀತಿಯೇ ಜಾರಿಯಲ್ಲಿರುವ ನೀತಿ ಎಂದು ಖಚಿತಪಡಿಸುವ ಏಕೈಕ ದಾರಿ ಅದು.
ಯಶಸ್ಸನ್ನು ಘೋಷಿಸುವ ಮೊದಲು ಪೂರ್ಣ ಕೀಲಿ ನವೀಕರಣವನ್ನು ಗಮನಿಸಿ. ಅಂದರೆ ಚೈಲ್ಡ್ ಸಂಘ ಬದಲಾಗುವಷ್ಟು ಸಮಯ ಸಂಪರ್ಕವನ್ನು ಮೇಲೆ ಇರಿಸಿ, ನಂತರ ಸಂಚಾರ ಮುಂದುವರಿಯುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸುವುದು. ಹೆಚ್ಚಿನ ನೀತಿ ಅಸಂಗತಿಗಳು ಅದೇ ಹಂತದಲ್ಲಿ ಅಡಗಿವೆ, ಏಕೆಂದರೆ ಆರಂಭಿಕ ಮಾತುಕತೆ ನವೀಕರಣ ಸ್ವೀಕರಿಸದ ಗುಂಪಿನೊಂದಿಗೂ ಯಶಸ್ವಿಯಾಗಬಹುದು.
ರೋಲ್ಬ್ಯಾಕ್ ಎಂದರೆ ಹಿಂದಿನ ನಿಯತಾಂಕ ಗುಂಪು, ಸಡಿಲವಾದ ಪರ್ಯಾಯವಲ್ಲ. ಕ್ಲೈಂಟ್ ದುರ್ಬಲ ಹಳೆಯ ಗುಂಪನ್ನು ಮಾತ್ರ ನೀಡಿದ್ದರೆ, ಉತ್ತರ ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ನ ಸಾಮಾನ್ಯ ನೀತಿಯನ್ನು ಸುಧಾರಿಸುವುದು, ಆ ಗುಂಪನ್ನು ಗೇಟ್ವೇಗೆ ಸೇರಿಸುವುದಲ್ಲ, ಅಲ್ಲಿ ಭವಿಷ್ಯದ ಪ್ರತಿ ಕಡೆಯೂ ಅದರ ಕಡೆಗೆ ಕೆಳಗೆ ಮಾತುಕತೆ ನಡೆಸಬಹುದು.
ನಾಲ್ಕು ನಿಯತಾಂಕಗಳು, ಗುಂಪು, ಸಂಪರ್ಕದ ವ್ಯಾಪ್ತಿ ಮತ್ತು ಕೀಲಿ ನವೀಕರಣದ ಫಲಿತಾಂಶವನ್ನು ದಾಖಲಿಸಿ. ಇದು ಚಿಕ್ಕ ಟಿಪ್ಪಣಿ, ಮತ್ತು ಮಾರ್ಗದರ್ಶಿ ಹಾಗೂ ಸುರಂಗ ಒಮ್ಮೆ ಏರಿದ ಕಥೆಯ ನಡುವಿನ ವ್ಯತ್ಯಾಸ ಅದೇ.