IKEv2 NO_PROPOSAL_CHOSEN: кайсы баскыч топтомду четке какты?

Журналдагы NO_PROPOSAL_CHOSEN адамдарды алдын ала бөлүшүлгөн ачкычка жиберет, жана ката өзгөртүүдөн кийин да калат. Бул эч качан каттоо эсебинин маселеси болгон эмес: теңдеш ошол алмашуу үчүн сунушталган ар бир сунушту четке какты, бул инсандык эмес, алгоритмдер жөнүндө айтылган сөз. Биринчи пайдалуу суроо кайсы алгоритмди оңдоо керек эмес, кайсы алмашуу четке кагылганы. Эч нерсени салыштырбастан мурун ошого жооп бериңиз. Анан сунушталган толук топтомду теңдеш уруксат берген толук топтом менен салыштырыңыз.

Алгач: кайсы алмашуу четке кагылды

IKEv2 эки түрдүү бирикмени сүйлөшөт. IKE SA сүйлөшүүнүн өзүн коргойт, ал эми CHILD SA трафикти коргойт. Ар биринин өз сунуш топтому бар жана ар бири бирдей билдирүү менен ийгиликсиз болушу мүмкүн. Баштапкы IKE сүйлөшүүсүндөгү четке кагуу жана CHILD сүйлөшүүсүндөгү четке кагуу ар башка оңдоолорду талап кылат, жана журнал адатта алмашууну билдирүүдөн бир-эки сап жогору атайт. Ошол эки сапты чогуу окуңуз, болбосо туура эмес сунуш тизмесин оңдойсуз.

Билдирүүнүн өзү алмашууну аныктабайт. Анын үстүндөгү сап сүйлөшүлүп жаткан SAны атайт, жана ошол ат текшериле турган сунуш тизмесин көрсөтөт.

Толук топтомдорду салыштырыңыз, өзүнчө ачкыч сөздөрдү эмес

Сунуш — бул айкалыш: шифрлоо алгоритми, бүтүндүк же AEAD, ачкыч алмашуу тобу жана каалаган псевдококустук функция. Шифрлоонун атын гана салыштыруу адаттагы ката, анткени эки теңдеш AES-256 боюнча макул болуп, SHA-1 жана SHA-256 маселесинде макул болбой калышы мүмкүн. Ийгиликсиз баскычта сунушталган жана уруксат берилген топтомдорду катар жазып, анан бош кесилишмени издеңиз.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Ошондой эле эки ишке ашыруу тең сиз конфигурациялаган нерсени колдой турганын текшериңиз. Башка платформадан көчүрүлгөн ат синтаксистик жактан тааныш көрүнүшү мүмкүн ал эми плагин же ишке ашыруу таптакыр жок.

IKE топтому жана ESP топтому — ар башка объектилер

IKE сунушун оңдоо четке кагылган CHILD сунушун оңдобойт, жана тескерисинче да туура. strongSwan ичинде булар өзүнчө жөндөөлөр, болжол менен IKE SA үчүн proposals = aes256-sha256-modp2048 жана CHILD SA үчүн өзүнчө ESP тизмеси. Ийгиликсиз алмашууга туура келген тизмени өзгөртүңүз, анан оңдоо иштеди деп болжолдобой, журналды кайра окуңуз.

CHILD SA үчүн тиешелүү жөндөө — ESP сунуш тизмеси, IKE тизмеси эмес. IKE сабын ага көчүрүү талданган, бирок туура эмес объектини сүйлөшкөн конфигурация жаратат.

Иштеп жаткан туннель ачкычты жаңыртууда ийгиликсиз болот

Эгер туннель бир саат иштеп, анан ийгиликсиз болсо, баштапкы сүйлөшүү маселе эмес. Ачкычты жаңыртуу башка шарттарды сынашы мүмкүн: биринчи алмашуудан кийин башка ачкыч алмашуу тобу, теңдештердин ортосунда жашоо убактысынын дал келбестиги же өзгөргөн жооп берүүчүнүн саясаты. Жаңыртуу убакыт белгисин жана эки тараптан бирикме идентификаторлорун сактаңыз. Мындай үлгү жаңыртуу учурунда сунуштарды салыштырууну талап кылат, узунураак таймаутту эмес. Таймаутту өзгөртүү симптомду жашырат жана дал келбестикти ордунда калтырат.

ipsec statusall ар бир бирикмени жана чындыгында сүйлөшүлгөн алгоритмдерди көрсөтөт. Бул чыгыш кайсы тизме колдонулганын ырастоонун эң ылдам жолу жана конфигурация катасын эч качан кайра сүйлөшүлбөгөн эски туннелден ажыратат.

ipsec statusall | grep -E "IKE:|ESP:"

Кесилишмени тандаңыз, анан эки фазаны ырастаңыз

Администраторго эки теңдеш колдогон документтелген заманбап кесилишмени тандоону жана аны жазып коюуну сураңыз. Катаны бардык эски алгоритмдерди күйгүзүү же инсандык текшерүүнү өчүрүү менен чечпеңиз, анткени экөө тең четке кагуудан келип чыкпайт. Өзгөртүүдөн кийин жаңы байланыш түзүңүз, анан ачкычты жаңыртууну мажбурлаңыз. Бир гана биринчи байланыш жаңыртуу жолу иштей турганын далилдебейт.

Кабыл алынган айкалышты прошивка версиялары менен бирге сактаңыз. Эгер кийинки ката трафик тандоочуларга тиешелүү болсо, аны өзүнчө караңыз, анткени криптография боюнча макулдук туннелдин кайсы ички тармактарды коргой турганы жөнүндө эч нерсе айтпайт. strongSwan сунуштар документтемеси эки тизменин синтаксисин камтыйт.