Windows жана strongSwan шифрлери: туура катмарды далдаңыз

Эки тарап тең AES-128 дейт, ал эми туннель дагы эле курулуудан баш тартат. CBC жана GCM — ачкычтын узундугу кокустан бирдей болгон ар башка трансформациялар, жана бирин сунуштаган кардар экинчисин гана кабыл алган шлюзду канааттандырбайт. AES сөзү үй-бүлөнү сүрөттөйт, келишимди эмес.

Экинчи огок да бар, жана баш аламан каталарды дал ошол жаратат.

Эки катмар, эки көз карандысыз тизме

IKE сүйлөшүүнүн өзүн коргойт, ал эми бала ассоциация сизге чындап маанилүү болгон трафикти коргойт. Windows биринчисин шифрлөө ыкмасы жана бүтүндүк ыкмасы катары, экинчисин шифр жана аутентификация трансформациясынын константалары катары көрсөтөт. Бул талаалар бири-биринин синоними эмес, жана биринде жарактуу маани экинчисинде маанисиз же туура эмес болушу мүмкүн. Профилди ушул бөлүнүү менен окуу баш аламандыктын көбүн жок кылат.

Практикалык натыйжа: сизде толук кабыл алынуучу ачкыч алмашуу саясаты жана өнөктөш кабыл албаган маалымат каналынын саясаты болушу мүмкүн. Бир тизме сүйлөшүү жүргүзөт, экинчиси пакеттерди коргойт. Биринчисиндеги маанини өзгөртүү экинчисине таасир этпейт, конфигурация диалогунда экөө канчалык окшош көрүнсө да.

Шлюз менен салыштыруудан мурун эки тизмени тең жазып алыңыз. Эстен салыштыруу — бир талааны эки жолу оңдоп, экинчисин эч качан оңдобоонун жолу. Шлюздун консолун профилдин жанында ачык кармаңыз.

Катаны сунуштардын жанынан окуңуз

Ийгиликсиз аяктаган баскыч кайсы тизмени текшерүү керектигин айтат. Баштапкы ачкыч алмашуу учурундагы баш тартуу IKE сунушунун маселеси, жана ал кандайдыр бир бала ассоциация пайда боло электе эле болот. Корголгон трафик ассоциациясы боюнча сүйлөшүү учурундагы ийгиликсиздик ESP сунушунун маселеси, ал эми ачкыч алмашуу мурун эле ийгиликтүү болгон. Кардардын жалпы саясат дал келүү билдирүүсү эки баскычтын бирин да атабайт, ошондуктан шлюздун өз көз карашы пайдалуу.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

Алынган сунушту, конфигурацияланган сунушту жана тандалган сунушту салыштырыңыз ошол бир аракет үчүн. Бул жерде үч түрдүү тизме маанилүү, жана эмне чындап колдонулганын акыркысы гана сүрөттөйт. Кыскача баяндамактын ордуна билетте сөзмө-сөз келтириңиз.

CBC менен GCMди өзүнчө альтернатива катары кармаңыз

Каалаган үй-бүлөнү кабыл алууга атайын уруксат берилген шлюзгө бир эмес, эки сунуш керек. strongSwan ичинде үтүр альтернативаларды бөлөт, ал эми дефис бир топтомдун компоненттерин бириктирет. Эки үй-бүлөнү дефистер менен айкалыштыруу эки кабыл алынуучу сунуштун ордуна бир мүмкүн эмес сунуш жаратат.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

Биринчи альтернатива аутентификацияланган шифрлөөнү алып жүрөт жана дагы эле псевдококустан функцияны атайт, анткени бүтүндүк шифрден келсе да ачкычтын туундусуна ал керек. Экинчи альтернатива — өзүнчө бүтүндүк алгоритми бар классикалык шифрлөө. Экөө тең жүктөлгөн крипто ишке ашыруусу эмнени колдосо, ошого көз каранды.

ESP сунушу — кайра аталган IKE сунушу эмес

Шифр токени эки тизмеде тең бирдей көрүнөт, ал эми калганынын дээрлик баары өтпөйт. ESP сунушунда ачкыч алмашуунун псевдококустан функциясы жок, жана анын бүтүндүк менен алдыга карай жашыруундук талаптары IKE сабынан көчүрүлгөндүн ордуна каршы тараптагы Windows саясатына каршы талкууланат. Бир тизмени экинчисине механикалык которуу текшерүүдөн өткөн, бирок эч качан сүйлөшпөгөн нерсе жаратат.

Бир багыт тандап, ошону карманыңыз. Же шлюз GCM гана саясатын сактап, кардар толук шайкеш саясатты жайгаштырат, же шлюз эки үй-бүлөнү тең кабыл алып, кардар өзүнүн учурдагы топтомун сактайт. Коопсуздук саясаты тыюу салган камдык вариантты иштетүү катаны канчалык тез жок кылбасын, оңдоо эмес.

Эки топтомду текшериңиз, анан ачкычты жаңыртууну

Тандалган ачкыч алмашуу топтомун жана тандалган трафик топтомун өзүнчө ырастаңыз, анткени алар ар башка тизмелерден келип, көз карандысыз ийгиликтүү болушу мүмкүн. Анан ачкычты жаңыртуу болсун жана аны да ырастаңыз. Иштеген биринчи кол кармашуу жана ийгиликсиз ачкычты жаңыртуу толук эмес кабыл алынуучу сунуштар топтомун сүрөттөйт.

Бул далилди өзгөртүү менен бирге сактаңыз. Кайталанган байланыш үзүлүшү кимдир бирөө таймерди же платформанын кемчилигин күнөөлөөдөн мурун өзүнүн ийгиликсиз алмашуу жазуусун талап кылат.