IPsec сунушума эмне кирет? IKE жана ESP талаалары

IKE башталат, эки тарап тең AES жарыялайт, бирок туннель дагы эле NO_PROPOSAL_CHOSEN менен ишке ашпайт. Журнал сунуштун атын атайт, бирок дал келбеген талааны атабайт. Сунуш — бир толук сунуш, жана бир шайкеш келбеген талаа бүт айкалышты жараксыз кылат, ошол сапты гана эмес. Аны көз карандысыз алгоритм тандоолорунун баштыгы катары окуу — дал келбестиктин көрүнбөй калышынын кадимки себеби.

Өзүнчө сунуш тизмелери бар эки сүйлөшүү

IKEv2 эки коопсуздук бирикмесин курат. Биринчиси — башкаруу алмашуусун өзү коргогон IKE SA, экинчиси — трафигиңизди ESP аркылуу ташыган CHILD SA. Ар биринин өз сунуш тизмеси бар, жана тарап бирөөнү кабыл алып, экинчисин четке кага алат.

Бул бөлүнүү көп кездешүүчү баш аламандыкты түшүндүрөт: иштеп жаткан IKE SA башкаруу каналынын алгоритмдери дал келгенин гана далилдейт. Эгер CHILD сунушу ишке ашпаса, биринчи фаза бүтүп, журналдар жогору жактан соо көрүнсө да, туннель бир да пакетти ташыбайт.

Ар бир тизменин ичиндеги тартип да маанилүү. Жооп берүүчү баштоочунун иреттелген сунуштарынан тандайт, ошондуктан кең шайкеш келүүчү жазууну тар жазуудан жогору жылдыруу кайсы топтом орнотулаарын өзгөртөт, бирок бир да алгоритм аты өзгөрбөйт. Бул тартипти демейки маанилерге таянбастан конфигурацияда бекемдеңиз. Туруктуу тартип сайттар ортосундагы журналдарды салыштырууну да маанилүү кылат.

Кайсы талаалар кайсы сунушка тиешелүү

Талаалардын топтому кичине, бирок эки сүйлөшүүдө бирдей эмес. Кестени сап-сап окуңуз, анткени бир мамычадагы талаа экинчисинде жок болушу мүмкүн. Синтаксис ишке ашырууга жараша ар башка; strongSwan сунуштарынын документтери бир конкреттүү шилтеме.

Шифрлоо талаасы шифрди жана көп синтаксисте анын ачкыч узундугун көрсөтөт. Бүтүндүк талаасы шифрленген текстти аутентификациялоо үчүн колдонулган хэшти көрсөтөт, ал эми PRF IKE SA үчүн ачкыч материалын алып чыгуучу функцияны көрсөтөт. DH тобу жаңы жалпы сыр материалын түзөт, ошондуктан ал эки тарапта тең көрүнөт, бирок ар башка максаттарда.

Кеңейтилген ырааттуулук сандары маалымат жолуна гана тиешелүү. Алар ырааттуулук мейкиндигин кеңейтет жана CHILD сунушунун бөлүгү катары сүйлөшүлөт, ошондуктан ал жердеги дал келбестик CHILD сунушун четке кагат, IKE SA болсо тийбеген бойдон калат.

Бир толук сунуш кантип тандалат

Ар бир сунуш — топтом, жана жооп берүүчү ар бир милдеттүү талаа кабыл алынган топтомду издейт. Эки тизме тең AES жана SHA-256 камтышы мүмкүн жана баары бир шайкеш келүүчү жазуу болбошу мүмкүн, анткени ачкыч узундугу, PRF же DH тобу башкача. Салыштыруу ар бир алгоритм боюнча эмес, ар бир сунуш боюнча жүргүзүлөт.

Эч нерсе дал келбесе, жооп берүүчү ишке ашпаган SA түрү менен NO_PROPOSAL_CHOSEN жөнөтөт. Конфигурацияны оңдоодон мурун билдирүү кайсы сунуш тизмесине тиешелүү экенин окуңуз; IKE сунушу четке кагылганда ESP алгоритмдерин өзгөртүү мүчүлүштүктү оңдоонун бир циклин текке кетирет.

Профилди тууралаганда тандоо жүрүм-турумун билүү пайдалуу. Айрым ишке ашыруулар баштоочунун тартибин жактырат, башкалары жергиликтүү саясат боюнча кайра иреттейт, ошондуктан эки жабдуу берүүчүнүн ортосунда иштеген топтом жоголушу мүмкүн туташууну кайсы тарап баштаарын тескери бурганыңызда.

AEAD талааны кошуунун ордуна алып салат

AES-GCM жана ChaCha20-Poly1305 бир операцияда аутентификациялайт жана шифрлейт. Алардын бири ESP үчүн тандалганда, бүтүндүк алгоритми өзүнчө сүйлөшүлбөйт, анткени AEAD түзүлүшү аны мурунтан камтыйт. Ошондуктан AES-GCM ди SHA-256 менен жупташтырган сунуш эң жакшы учурда ашыкча, эң жаман учурда четке кагылган.

PRF IKE тарабында бөлөк бойдон калат, анткени ал пайдалуу жүктү коргоонун ордуна башкаруу каналы үчүн ачкычтарды алып чыгат. Ошондуктан IKE сунушу AEAD шифрин PRF жана DH тобу менен мыйзамдуу айкалыштыра алат, ал эми тиешелүү ESP сунушу AEAD шифрин жана милдеттүү эмес PFS тобун гана тизмелейт.

Ачкыч узундугу шифрлоо токенинин бөлүгү, ошондуктан AES-128-GCM жана AES-256-GCM башка сунуштар. 256-bit ачкычтарды болжолдогон колдонмодон көчүрүлгөн профиль 128-bit үчүн конфигурацияланган акыркы чекитке дал келбейт, эки сап тең AES-GCM десе да. Эки тарап шифрлер үй-бүлөсү боюнча макулдашып, баары бир сызыкчадан кийинки сандын айынан бири-бирин четке кагышы мүмкүн.

Орнотулган SA ны окуңуз, конфигурацияны эмес

Конфигурацияланган сунуш тизмеси — сунуш; орнотулган SA — натыйжа. strongSwan жана Linux өзөгүндө эки көрүнүш тең жеткиликтүү:

sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policy

swanctl --list-sas ар бир SA үчүн сүйлөшүлгөн алгоритмдерди басып чыгарат, CHILD AEAD колдонорун да кошкондо. ip xfrm state өзөк иш жүзүндө эмнени орнотконун көрсөтөт, жана ачкычты жаңыртуу сиз документтештиргенден башка топтомго кайтып түшпөгөнүн тастыктоочу жер дал ушул.

Оңдоодон кийин бул чыгарылышты конфигурациянын жанына сактаңыз. Кардардын жаңыртуусу демейки маанилерди өзгөрткөндө, жазылган топтом салыштыруу үчүн базалык сызык берет, жана салыштыруу иликтөөнү башынан баштоонун ордуна жылган талааны көрсөтөт.