Windows ಮತ್ತು strongSwan ಸೈಫರುಗಳು: ಸರಿಯಾದ ಪದರವನ್ನು ಹೊಂದಿಸಿ

ಎರಡೂ ತುದಿಗಳು AES-128 ಎನ್ನುತ್ತವೆ ಮತ್ತು ಸುರಂಗವು ಇನ್ನೂ ನಿರ್ಮಾಣವಾಗಲು ನಿರಾಕರಿಸುತ್ತದೆ. CBC ಮತ್ತು GCM ಬೇರೆ ಬೇರೆ ರೂಪಾಂತರಗಳು, ಅವು ಆಕಸ್ಮಿಕವಾಗಿ ಒಂದೇ ಕೀ ಉದ್ದವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ, ಮತ್ತು ಒಂದನ್ನು ನೀಡುವ ಕ್ಲೈಂಟ್ ಇನ್ನೊಂದನ್ನು ಮಾತ್ರ ಸ್ವೀಕರಿಸುವ ಪ್ರವೇಶದ್ವಾರವನ್ನು ತೃಪ್ತಿಪಡಿಸುವುದಿಲ್ಲ. AES ಎಂಬ ಪದ ಒಂದು ಕುಟುಂಬವನ್ನು ವಿವರಿಸುತ್ತದೆ, ಒಪ್ಪಂದವನ್ನಲ್ಲ.

ಎರಡನೇ ಅಕ್ಷವೂ ಇದೆ, ಮತ್ತು ಗೊಂದಲದ ದೋಷಗಳನ್ನು ಉಂಟುಮಾಡುವುದು ಅದೇ.

ಎರಡು ಪದರಗಳು, ಎರಡು ಸ್ವತಂತ್ರ ಪಟ್ಟಿಗಳು

IKE ಸ್ವತಃ ಮಾತುಕತೆಯನ್ನು ರಕ್ಷಿಸುತ್ತದೆ, ಆದರೆ ಚೈಲ್ಡ್ ಅಸೋಸಿಯೇಶನ್ ನಿಮಗೆ ನಿಜವಾಗಿ ಮುಖ್ಯವಾದ ಟ್ರಾಫಿಕ್ ಅನ್ನು ರಕ್ಷಿಸುತ್ತದೆ. Windows ಮೊದಲನೆಯದನ್ನು ಎನ್ಕ್ರಿಪ್ಶನ್ ವಿಧಾನ ಮತ್ತು ಅಖಂಡತೆ ವಿಧಾನವಾಗಿ, ಎರಡನೆಯದನ್ನು ಸೈಫರ್ ಮತ್ತು ದೃಢೀಕರಣ ರೂಪಾಂತರ ಸ್ಥಿರಾಂಕಗಳಾಗಿ ತೋರಿಸುತ್ತದೆ. ಆ ಕ್ಷೇತ್ರಗಳು ಪರಸ್ಪರ ಸಮಾನಾರ್ಥಕಗಳಲ್ಲ, ಮತ್ತು ಒಂದರಲ್ಲಿ ಮಾನ್ಯವಾದ ಮೌಲ್ಯ ಇನ್ನೊಂದರಲ್ಲಿ ಅರ್ಥಹೀನ ಅಥವಾ ತಪ್ಪಾಗಿರಬಹುದು. ಈ ವಿಭಜನೆಯನ್ನು ಮನಸ್ಸಿನಲ್ಲಿಟ್ಟುಕೊಂಡು ಪ್ರೊಫೈಲ್ ಓದುವುದು ಬಹಳಷ್ಟು ಗೊಂದಲವನ್ನು ನಿವಾರಿಸುತ್ತದೆ.

ಪ್ರಾಯೋಗಿಕ ಪರಿಣಾಮವೆಂದರೆ ನೀವು ಸಂಪೂರ್ಣವಾಗಿ ಸ್ವೀಕಾರಾರ್ಹ ಕೀ-ವಿನಿಮಯ ನೀತಿ ಮತ್ತು ಸಹಭಾಗಿ ಸ್ವೀಕರಿಸದ ಡೇಟಾ-ಚಾನೆಲ್ ನೀತಿ ಹೊಂದಿರಬಹುದು. ಒಂದು ಪಟ್ಟಿ ಮಾತುಕತೆ ನಡೆಸುತ್ತದೆ; ಇನ್ನೊಂದು ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ರಕ್ಷಿಸುತ್ತದೆ. ಸಂರಚನಾ ಸಂವಾದದಲ್ಲಿ ಎರಡೂ ಎಷ್ಟೇ ಹೋಲಿಕೆಯಾಗಿ ಕಂಡರೂ, ಮೊದಲನೆಯದರಲ್ಲಿ ಮೌಲ್ಯ ಬದಲಾಯಿಸುವುದು ಎರಡನೆಯದರ ಮೇಲೆ ಯಾವುದೇ ಪರಿಣಾಮ ಬೀರುವುದಿಲ್ಲ.

ಪ್ರವೇಶದ್ವಾರದೊಂದಿಗೆ ಹೋಲಿಸುವ ಮೊದಲು ಎರಡೂ ಪಟ್ಟಿಗಳನ್ನು ಬರೆಯಿರಿ. ನೆನಪಿನಿಂದ ಮಾಡುವ ಹೋಲಿಕೆ ಎಂದರೆ ಒಂದು ಕ್ಷೇತ್ರವನ್ನು ಎರಡು ಬಾರಿ ಸಂಪಾದಿಸಿ ಇನ್ನೊಂದನ್ನು ಎಂದಿಗೂ ಸಂಪಾದಿಸದಿರುವುದು. ಪ್ರೊಫೈಲ್ನ ಪಕ್ಕದಲ್ಲಿ ಪ್ರವೇಶದ್ವಾರದ ಕನ್ಸೋಲ್ ತೆರೆದಿಡಿ.

ಪ್ರಸ್ತಾವನೆಗಳ ಪಕ್ಕದಲ್ಲಿ ದೋಷವನ್ನು ಓದಿ

ವಿಫಲವಾದ ಹಂತ ಯಾವ ಪಟ್ಟಿಯನ್ನು ಪರಿಶೀಲಿಸಬೇಕೆಂದು ಹೇಳುತ್ತದೆ. ಆರಂಭಿಕ ಕೀ-ವಿನಿಮಯದ ಸಮಯದಲ್ಲಿ ನಿರಾಕರಣೆ IKE ಪ್ರಸ್ತಾವನೆಯ ಸಮಸ್ಯೆ, ಮತ್ತು ಅದು ಯಾವುದೇ ಚೈಲ್ಡ್ ಅಸೋಸಿಯೇಶನ್ ಅಸ್ತಿತ್ವಕ್ಕೆ ಬರುವ ಮೊದಲೇ ಸಂಭವಿಸುತ್ತದೆ. ರಕ್ಷಿತ-ಟ್ರಾಫಿಕ್ ಅಸೋಸಿಯೇಶನ್ ಮಾತುಕತೆ ನಡೆಯುತ್ತಿರುವಾಗಿನ ವೈಫಲ್ಯ ESP ಪ್ರಸ್ತಾವನೆಯ ಸಮಸ್ಯೆ, ಮತ್ತು ಕೀ-ವಿನಿಮಯ ಈಗಾಗಲೇ ಯಶಸ್ವಿಯಾಗಿದೆ. ಕ್ಲೈಂಟ್ನ ಸಾಮಾನ್ಯ ನೀತಿ-ಹೊಂದಾಣಿಕೆ ಸಂದೇಶ ಎರಡೂ ಹಂತಗಳನ್ನು ಹೆಸರಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಪ್ರವೇಶದ್ವಾರದ ಸ್ವಂತ ದೃಷ್ಟಿಕೋನವೇ ಉಪಯುಕ್ತ.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

ಸ್ವೀಕರಿಸಿದ ಪ್ರಸ್ತಾವನೆ, ಸಂರಚಿಸಿದ ಪ್ರಸ್ತಾವನೆ ಮತ್ತು ಆಯ್ಕೆಮಾಡಿದ ಪ್ರಸ್ತಾವನೆಯನ್ನು ಹೋಲಿಸಿ ಆ ಒಂದೇ ಪ್ರಯತ್ನಕ್ಕಾಗಿ. ಇಲ್ಲಿ ಮೂರು ವಿಭಿನ್ನ ಪಟ್ಟಿಗಳು ಮುಖ್ಯ, ಮತ್ತು ನಿಜವಾಗಿ ಏನು ಬಳಸಲಾಯಿತು ಎಂಬುದನ್ನು ಕೊನೆಯದು ಮಾತ್ರ ವಿವರಿಸುತ್ತದೆ. ಸಾರಾಂಶ ಮಾಡುವ ಬದಲು ಟಿಕೆಟ್ನಲ್ಲಿ ಅದನ್ನು ಪದಶಃ ಉಲ್ಲೇಖಿಸಿ.

CBC ಮತ್ತು GCM ಅನ್ನು ಪ್ರತ್ಯೇಕ ಪರ್ಯಾಯಗಳಾಗಿ ಇರಿಸಿ

ಯಾವುದೇ ಕುಟುಂಬವನ್ನು ಸ್ವೀಕರಿಸಲು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಅನುಮತಿಸಲಾದ ಪ್ರವೇಶದ್ವಾರಕ್ಕೆ ಒಂದಲ್ಲ, ಎರಡು ಪ್ರಸ್ತಾವನೆಗಳು ಬೇಕು. strongSwan ನಲ್ಲಿ ಅಲ್ಪವಿರಾಮ ಪರ್ಯಾಯಗಳನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಹೈಫನ್ ಒಂದೇ ಸೂಟ್ನ ಘಟಕಗಳನ್ನು ಸೇರಿಸುತ್ತದೆ. ಎರಡೂ ಕುಟುಂಬಗಳನ್ನು ಹೈಫನ್ಗಳಿಂದ ಸಂಯೋಜಿಸಿದರೆ ಎರಡು ಸ್ವೀಕಾರಾರ್ಹ ಪ್ರಸ್ತಾವನೆಗಳ ಬದಲು ಒಂದು ಅಸಾಧ್ಯ ಪ್ರಸ್ತಾವನೆ ಉಂಟಾಗುತ್ತದೆ.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

ಮೊದಲ ಪರ್ಯಾಯವು ದೃಢೀಕೃತ ಎನ್ಕ್ರಿಪ್ಶನ್ ಅನ್ನು ಹೊತ್ತುಕೊಂಡಿದೆ ಮತ್ತು ಇನ್ನೂ ಸೂಡೋ-ಯಾದೃಚ್ಛಿಕ ಫಂಕ್ಷನ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಅಖಂಡತೆ ಸೈಫರ್ನಿಂದ ಬಂದರೂ ಕೀ ವ್ಯುತ್ಪತ್ತಿಗೆ ಒಂದು ಬೇಕು. ಎರಡನೇ ಪರ್ಯಾಯವು ಪ್ರತ್ಯೇಕ ಅಖಂಡತೆ ಅಲ್ಗಾರಿದಮ್ನೊಂದಿಗೆ ಸಾಂಪ್ರದಾಯಿಕ ಎನ್ಕ್ರಿಪ್ಶನ್. ಎರಡೂ ಲೋಡ್ ಆದ ಕ್ರಿಪ್ಟೋ ಅನುಷ್ಠಾನವು ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿವೆ.

ESP ಪ್ರಸ್ತಾವನೆ ಮರುನಾಮಕರಣಗೊಂಡ IKE ಪ್ರಸ್ತಾವನೆ ಅಲ್ಲ

ಸೈಫರ್ ಟೋಕನ್ ಎರಡೂ ಪಟ್ಟಿಗಳಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತದೆ, ಮತ್ತು ಬೇರೆ ಬಹುತೇಕ ಏನೂ ವರ್ಗಾವಣೆಯಾಗುವುದಿಲ್ಲ. ESP ಪ್ರಸ್ತಾವನೆಗೆ ಕೀ-ವಿನಿಮಯದ ಸೂಡೋ-ಯಾದೃಚ್ಛಿಕ ಫಂಕ್ಷನ್ ಇಲ್ಲ, ಮತ್ತು ಅದರ ಅಖಂಡತೆ ಹಾಗೂ ಮುಂದುವರಿಕೆ ಗೋಪ್ಯತೆಯ ಅವಶ್ಯಕತೆಗಳನ್ನು IKE ಸಾಲಿನಿಂದ ನಕಲಿಸುವ ಬದಲು ಇನ್ನೊಂದು ಬದಿಯ Windows ನೀತಿಯ ವಿರುದ್ಧ ವಾದಿಸಲಾಗುತ್ತದೆ. ಒಂದು ಪಟ್ಟಿಯನ್ನು ಇನ್ನೊಂದಕ್ಕೆ ಯಾಂತ್ರಿಕವಾಗಿ ಅನುವಾದಿಸಿದರೆ ಮಾನ್ಯತೆ ಪಡೆದು ಎಂದಿಗೂ ಮಾತುಕತೆ ನಡೆಸದ ಯಾವುದೋ ಒಂದು ಸೃಷ್ಟಿಯಾಗುತ್ತದೆ.

ಒಂದು ದಿಕ್ಕನ್ನು ಆರಿಸಿ ಅದರಲ್ಲೇ ಇರಿ. ಒಂದೋ ಪ್ರವೇಶದ್ವಾರವು GCM-ಮಾತ್ರ ನೀತಿಯನ್ನು ಇಟ್ಟುಕೊಂಡು ಕ್ಲೈಂಟ್ ಸಂಪೂರ್ಣ ಹೊಂದಾಣಿಕೆಯ ನೀತಿಯನ್ನು ನಿಯೋಜಿಸುತ್ತದೆ, ಅಥವಾ ಪ್ರವೇಶದ್ವಾರವು ಎರಡೂ ಕುಟುಂಬಗಳನ್ನು ಸ್ವೀಕರಿಸಿ ಕ್ಲೈಂಟ್ ತನ್ನ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಸೂಟ್ ಅನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಭದ್ರತಾ ನೀತಿ ನಿಷೇಧಿಸುವ ಫಾಲ್ಬ್ಯಾಕ್ ಅನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವುದು ಎಷ್ಟೇ ಬೇಗನೆ ದೋಷವನ್ನು ತೆಗೆದರೂ ಪರಿಹಾರವಲ್ಲ.

ಎರಡೂ ಸೂಟ್ಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ನಂತರ ಕೀ ನವೀಕರಣ

ಆಯ್ಕೆಮಾಡಿದ ಕೀ-ವಿನಿಮಯ ಸೂಟ್ ಮತ್ತು ಆಯ್ಕೆಮಾಡಿದ ಟ್ರಾಫಿಕ್ ಸೂಟ್ ಅನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ದೃಢೀಕರಿಸಿ, ಏಕೆಂದರೆ ಅವು ವಿಭಿನ್ನ ಪಟ್ಟಿಗಳಿಂದ ಬರುತ್ತವೆ ಮತ್ತು ಸ್ವತಂತ್ರವಾಗಿ ಯಶಸ್ವಿಯಾಗಬಹುದು. ನಂತರ ಕೀ ನವೀಕರಣ ಸಂಭವಿಸಲಿ ಮತ್ತು ಅದನ್ನೂ ದೃಢೀಕರಿಸಿ. ಕೆಲಸ ಮಾಡುವ ಮೊದಲ ಹ್ಯಾಂಡ್ಶೇಕ್ ಮತ್ತು ವಿಫಲವಾಗುವ ಕೀ ನವೀಕರಣವು ಭಾಗಶಃ ಮಾತ್ರ ಸ್ವೀಕಾರಾರ್ಹವಾದ ಪ್ರಸ್ತಾವನೆಗಳ ಗುಂಪನ್ನು ವಿವರಿಸುತ್ತವೆ.

ಆ ಸಾಕ್ಷ್ಯವನ್ನು ಬದಲಾವಣೆಯೊಂದಿಗೆ ಇರಿಸಿ. ಪುನರಾವರ್ತಿತ ಸಂಪರ್ಕ ಕಡಿತಕ್ಕೆ ಯಾರಾದರೂ ಟೈಮರ್ ಅಥವಾ ಪ್ಲಾಟ್ಫಾರ್ಮ್ ದೋಷವನ್ನು ದೂಷಿಸುವ ಮೊದಲು ತನ್ನದೇ ಆದ ವಿಫಲ-ವಿನಿಮಯ ದಾಖಲೆ ಬೇಕು.