IKEv2 NO_PROPOSAL_CHOSEN: a wéi enger Stuf gouf de Set verworf?

NO_PROPOSAL_CHOSEN an engem Log schéckt d'Leit op de virgedeelte Schlëssel, an de Feeler iwwerlieft d'Ännerung. Et war ni e Problem vun den Zougangsdaten: de Peer huet all Propositioun verworf, déi fir dee Auswiessel proposéiert gouf, wat eng Ausso iwwer Algorithmen an net iwwer Identitéit ass. Déi éischt nëtzlech Fro ass net wéi en Algorithmus ze änneren, mä wéi en Auswiessel verworf gouf. Äntwert dat, ier Dir eppes vergläicht. Vergläicht duerno de ganzen ugebuedenen Set mat dem ganzen Set, deen de Peer erlaabt.

Als éischt: wéi en Auswiessel verworf gouf

IKEv2 verhandelt zwou Zorte vun Associatioun. D'IKE SA schützt d'Verhandlung selwer, an d'CHILD SA schützt den Traffic. Jidder huet hire eegene Propositiounsset, a jidderee kann mat der selwechter Notifikatioun scheiteren. Eng Verweigerung an der initialer IKE-Verhandlung an eng Verweigerung an der CHILD-Verhandlung brauchen ënnerschiddlech Korrekturen, an de Log nennt den Auswiessel normalerweis eng oder zwou Zeilen iwwer der Notifikatioun. Liest déi zwou Zeilen zesummen, soss ännert Dir déi falsch Propositiounslescht.

D'Notifikatioun eleng identifizéiert den Auswiessel net. D'Zeile driwwer nennt d'SA déi verhandelt gëtt, an deen Numm weist op déi Propositiounslescht, déi ze kontrolléiere ass.

Vergläicht komplett Sette mateneen, net eenzel Schlësselwierder

Eng Propositioun ass eng Kombinatioun: Verschlësselungsalgorithmus, Integritéit oder AEAD, Schlësselaustauschgrupp an eng pseudozoufälleg Funktioun, wann et eng gëtt. Nëmmen den Numm vun der Verschlësselung ze vergläichen ass de gewéinleche Feeler, well zwee Peeren sech op AES-256 eeneg kënne sinn an trotzdem iwwer SHA-1 géint SHA-256 net eeneg sinn. Schreift déi proposéiert an erlaabt Sette bei der gescheiterter Stuf niewenteneen an sicht dann déi eidel Schnëttfläch.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Kuckt och no, ob béid Implementatiounen ënnerstëtzen, wat Dir konfiguréiert hutt. En Numm, dee vun enger anerer Plattform kopéiert gouf, kann syntaktesch vertraut ausgesinn wärend de Plugin oder d'Implementatioun ganz feelt.

Den IKE-Set an den ESP-Set sinn ënnerschiddlech Objeten

D'IKE-Propositioun z'änneren reparéiert keng verworf CHILD-Propositioun, an ëmgedréint gëllt datselwecht. An strongSwan sinn dat getrennte Astellungen, ongeféier proposals = aes256-sha256-modp2048 fir d'IKE SA an eng getrennt ESP-Lëscht fir d'CHILD SA. Ännert d'Lëscht, déi zum gescheiterten Auswiessel passt, a liest duerno de Log nach eng Kéier, amplaz unzehuelen, d'Korrektur hätt geschafft.

Fir d'CHILD SA ass déi relevant Astellung d'ESP-Propositiounslescht, net déi vun IKE. D'IKE-Zeil dohinner ze kopéieren ergëtt eng Konfiguratioun, déi parst, awer de falschen Objet verhandelt.

En Tunnel dee funktionéiert an beim Schlëssel-Erneieren scheitert

Wann den Tunnel eng Stonn gelaf ass an duerno gescheitert ass, ass d'initial Verhandlung net de Problem. Eng Schlëssel-Erneierung kann aner Konditiounen testen: eng aner Schlësselaustauschgrupp no dem éischten Auswiessel, eng Diskrepanz vun der Liewensdauer tëscht de Peeren oder eng geännert Richtlinn vum Äntwerer. Haalt den Erneierungszäitstempel an d'Associatiounsidentifikatoren vun béide Säiten. Dëst Muster brauch e Propositiounsverglach bei der Erneierung, net eng méi laang Zäitlimitt. Eng Ännerung vun der Zäitlimitt verstoppt de Symptom an hannerléisst d'Diskrepanz.

ipsec statusall weist all Associatioun an d'Algorithme, déi tatsächlech verhandelt goufen. Dee Output ass de séierste Wee fir ze bestätegen, wéi eng Lëscht benotzt gouf, an en trennt e Konfiguratiounsfeeler vun engem veralteten Tunnel, dee ni nei verhandelt gouf.

ipsec statusall | grep -E "IKE:|ESP:"

Wielt eng Schnëttfläch, da bestätegt béid Phasen

Loosst den Administrateur eng dokumentéiert modern Schnëttfläch wielen, déi béid Peeren ënnerstëtzen, an se opschreiwen. Léist de Feeler net, andeems Dir all eelere Algorithmus aktivéiert oder d'Identitéitspréifung ausschalt, well keent vun deenen zwee aus enger Verweigerung folgt. Nom Änneren etabléiert eng nei Verbindung an erzwéngt dann eng Schlëssel-Erneierung. Déi éischt Verbindung eleng beweist net, datt den Erneierungswee funktionéiert.

Haalt déi akzeptéiert Kombinatioun mat de Firmwareversiounen. Wann den nächste Feeler d'Traffic Selectoren betrëfft, behandelt en getrennt, well d'Accord iwwer Kryptografie seet näischt doriwwer, wéi eng Subnetzer den Tunnel schützt. D'Propositiounsdokumentatioun vu strongSwan deckt d'Syntax fir béid Lëschten.