Windows жана strongSwan: IKE сунушундагы төрт трансформацияны дал келтирүү
Ачкыч алмашуу тобу боюнча тараптар макулдашпаса, жалпы шифр жетишсиз. Төрт трансформациянын баарын салыштырып, андан соң бир чектелген профиль саясатын колдонуңуз.
Эки тарап тең AES колдойт, экөө тең SHA-256 кабыл алат, бирок туннель баары бир көтөрүлбөйт. Сунуш эч ким салыштырбаган компонентте ийгиликсиз болду, адатта ачкыч алмашуу тобунда. Бул колдонмо бир нерсени өзгөртүүдөн мурун чыныгы алмашууну окуйт, бир чектелген саясатты колдонот жана мурунку параметрлерди калыбына келтирүүчү артка кайтарууну калтырат.
Топту өзгөртүүдөн мурун ийгиликсиздикти окуңуз
«Саясат дал келүү катасы» — бул корутунду, диагноз эмес. Ал өз ара жарактуу сунуш табылбаганын билдирет жана кайсы компонент четке кагылганы тууралуу эч нерсе айтпайт. Аны конкреттүү топ тууралуу далил катары эмес, иликтөөнүн башталышы катары кабыл алыңыз.
Жооп адатта сервер тарапта болот. Тиешелүү деңгээлдеги strongSwan журналы кардардан алынган сунушту жана кабыл алууга конфигурацияланган сунушту тизмелейт, эки тизменин айырмасы ийгиликсиз болгон компонентти атайт.
Кардар эски форум билдирүүсү айтканды сунуштайт деп ойлобоңуз. Активдүү профиль жана анын орнотулган саясаты сунушталуучу тизмени аныктайт, ал эми жаңыртылган Windows курулушу сиз көчүрүп жаткан скриншоттогудан башка топтомду сунушташы мүмкүн.
Эки тизмени тең жазып алыңыз. Төрт трансформация позициясы жана бир топ — кыска тизме, аны сап боюнча салыштыруу каалаган эксперименттен аз убакыт алат. Төрт позицияны көз алдында кармоо оңой. Журнал файлын — андай эмес.
Бир тааныш атты эмес, ар бир трансформацияны салыштырыңыз
IKE сунушу — баары дал келиши керек болгон тандоолордун жыйындысы. Шифрлөө сүйлөшүүлөрдү коргойт, бүтүндүк же PRF аны күбөлөндүрөт, Diffie-Hellman тобу жаңы ачкыч материалын түзөт. Биринчи экөөндө дал келип, үчүнчүсүндө айырмаланган сунуш эки тарап үчүн тең кабыл алынбайт.
Бул жерде чаташкан эки Windows талаасы ар кайсы фазаларга таандык. DHGroup IKE ачкыч алмашуусуна тиешелүү, ал эми PfsGroup трафикти коргогон балалык ассоциацияга тиешелүү. Экинчисин өзгөртүү биринчидеги ийгиликсиздикти оңдой албайт.
Топ аттары ишке ашыруулар боюнча айырмаланат жана бул чаташуунун өзүнчө булагы. strongSwan modp2048 жана ecp256 деп жазат, Windows болсо Group14 жана ECP256 сыяктуу саноо аттарын колдонот, ошондуктан салыштыруудан мурун которуу керек. Эки аты бар эки тилкелүү жазуу кармаңыз. Анда кийинки дал келбестик секунддарда классификацияланат.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
Бир толук жана чектелген саясатты колдонуңуз
Жергиликтүү IKEv2 профили үчүн колдоого алынган курал — ар бир туташууга IPsec саясаты, ал талаа-талаа эмес, бир объект катары орнотулат. Адегенде алдын ала көрүңүз, анан колдонуңуз, мурунку параметрлерди өзгөртүү жазуусунда сактаңыз.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf которгучу жергиликтүү өзгөртүүнү алдын ала көрсөтөт жана эч нерсе колдонбойт. Бул пайдалуу жана ошол эле учурда кеңири тараган тузак, анткени алдын ала көрүү параметрлердин жергиликтүү cmdlet үчүн синтаксистик жактан жарактуу экенин гана далилдейт. Ал шлюз алынган сунушту кабыл алабы — бул тууралуу эч нерсе айтпайт.
Ошол жерде камтылышты да дал келтириңиз. Бардык колдонуучулар кампасындагы туташууга тиешелүү бардык-колдонуучу параметри керек, ал эми ошол эле көрсөтүлүүчү ат менен колдонуучуга жараша профилди түзөтүү туннель колдонбогон башка объектти өзгөртөт.
Анан сыноодон мурун strongSwan тарабын ошол эле топтомго келтириңиз. Эки учунда шайкештелген өзгөртүү — бул жагынан жыйналуучу жалгыз вариант; бир тарапты өзгөртүп, кайра-кайра аракет кылуу ошол эле баш тартууга толгон журнал берет.
Алмашууну жана ачкычты жаңыртууну өзүнчө текшериңиз
Ийгиликтүү туташуу — бир байкоо, ачкычты жаңыртуу — башка байкоо. Баштапкы IKE сүйлөшүүсү бир параметрлер топтомун колдонот, трафикти ташыган балалык ассоциация кийинчерээк өз саясаты менен кайра сүйлөшүлүшү мүмкүн. Туташып, бир аздан кийин кулап калган конфигурация адатта экинчи учур.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *Биринчи буйрук сервердин орнотулган ассоциацияларга көз карашын көрсөтөт, анын ичинде балалык SA жана анын калган өмүрү. Экинчиси кардар профилинде азыр эмне бар экенин көрсөтөт, жана сиз орноткон саясат күчүндөгү саясат экенин ырастоонун жалгыз жолу ушул.
Ийгилик жарыялоодон мурун толук ачкыч жаңыртууну байкаңыз. Бул туташууну балалык ассоциация алмаштырыла тургандай узак кармап, анан трафиктин уланганын ырастоону билдирет. Саясат дал келбестиктеринин көбү ушул кадамда жашырылат, анткени баштапкы сүйлөшүү жаңыртуу кабыл кылбаган топтом менен да ийгиликтүү болушу мүмкүн.
Артка кайтаруу — мурунку параметрлер топтому, жеңилдик берүүчү балама эмес. Эгер кардар бир гана алсыз эски топту сунуштаган болсо, жооп — кардар менен сервердин жалпы саясатын жакшыртуу, ал топту ар бир келечектеги тарап ага чейин ылдый сүйлөшө ала турган шлюзга кошуу эмес.
Төрт параметрди, топту, туташуунун камтылышын жана ачкыч жаңыртуунун жыйынтыгын жазыңыз. Бул кыска жазуу, жана дал ушул колдонмо менен туннелдин бир кезде көтөрүлүшү тууралуу окуянын айырмасы.