Windows an strongSwan: déi véier Transformen an engem IKE-Virschlag pasend maachen

Déi zwou Säiten ënnerstëtzen allebéid AES, béid akzeptéieren SHA-256, an den Tunnel kënnt trotzdem net erop. De Virschlag ass op enger Komponent gescheitert, déi keen verglach huet, meeschtens op der Schlësselaustauschgrupp. Dëse Guide liest den tatsächlechen Austausch, ier eppes geännert gëtt, applizéiert eng eenzeg begrenzt Politik a léisst en Zerécksetze, dat déi vireg Parameteren erëm hierstellt.

Liest de Feeler, ier Dir eng Grupp ännert

En „Politik-Match-Fehler“ ass eng Zesummefassung, keng Diagnos. Et bedeit, datt kee géigesäiteg akzeptabele Virschlag fonnt gouf, an et seet näischt doriwwer, wéi eng Komponent refuséiert gouf. Behandelt en als Ufank vun der Enquête an net als Beweis iwwer eng bestëmmte Grupp.

D’Äntwert läit meeschtens op der Serversäit. E strongSwan-Log op engem passenden Niveau lëscht de Virschlag, deen en vum Client kritt huet, an de Virschlag, deen ze akzeptéieren en konfiguréiert ass, an den Ënnerscheed tëscht den zwou Lëschten nennt déi gescheitert Komponent.

Hutt net un, datt de Client bitt, wat en ale Forembeitrag seet. Den aktive Profil an seng installéiert Politik entscheeden déi ugebuede Lëscht, an eng aktualiséiert Windows-Build kann en anere Set ubidden wéi deen am Screenshot, vun deem Dir ofschreift.

Schreift déi zwou Lëschten op. Véier Transformpositiounen an eng Grupp sinn eng kuerz Lëscht, an se Zeil fir Zeil ze vergläichen dauert méi kuerz wéi all Experiment. Véier Positioune sinn einfach am Bléck ze behalen. Eng Logdatei net.

Vergläicht all Transform, net een vertraute Numm

En IKE-Virschlag ass eng Rei Wiel, déi all musse passen. Verschlësselung schützt d’Verhandlung, Integritéit oder e PRF authentifizéiert se, an eng Diffie-Hellman-Grupp setzt frëscht Schlësselmaterial op. E Virschlag, deen op den éischten zwee passt an op der drëtter ofwäicht, ass fir béid Säiten nach ëmmer net akzeptabel.

Déi zwou Windows-Felder, déi hei verwiesselt ginn, gehéieren zu ënnerschiddlechen Phasen. DHGroup gëllt fir den IKE-Schlësselaustausch, während PfsGroup fir d’Kandassociatioun gëllt, déi den Traffic schützt. Dat zweet ze änneren kann e Feeler am éischten net reparéieren.

Gruppenimmë sinn tëscht Implementatiounen ënnerschiddlech, an dat ass eng eege Quell vu Verwirrung. strongSwan schreift modp2048 an ecp256, während Windows Enumeratiounsnimm wéi Group14 an ECP256 benotzt, also muss e Verglach iwwersetzen, ier e vergläicht. Halt eng Notiz an zwou Kolonnen mat béiden Nimm. Déi nächst Ofwäichung gëtt dann a Sekonne klasséiert.

Applizéiert eng komplett a begrenzt Politik

Dat ënnerstëtzt Instrument fir en natives IKEv2-Profil ass eng IPsec-Politik pro Verbindung, gesat als een Objet an net Feld fir Feld. Kuckt se fir d’éischt un, applizéiert se duerno, a behält déi vireg Parameteren am Ännerungsregister.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

De Schalter -WhatIf weist d’lokal Ännerung als Preview a applizéiert näischt. Dat ass nëtzlech an et ass och eng heefeg Falle, well eng Preview just beweise kann, datt d’Parametere fir de lokale cmdlet syntaktesch zoulässeg sinn. Ob de Gateway de resultéierende Virschlag unhëlt, seet se net.

Passt dobäi och de Beräich un. Eng Verbindung am Späicher fir all Benotzer brauch de passenden All-Benotzer-Parameter, an d’Benotzerprofil mat demselwechten ugewise Numm z’änneren ännert en aneren Objet, deen den Tunnel net benotzt.

Stellt duerno virum Test d’strongSwan-Säit op dee selwechte Set. Eng ofgestëmmt Ännerung op béiden Enden ass déi eenzeg Versioun dovun, déi konvergéiert; eng Säit z’änneren an ëmmer erëm nei ze probéieren ergëtt e Log voll mat der selwechter Refus.

Iwwerpréift den Austausch an de Schlëssel-Erneieren getrennt

Eng erfollegräich Verbindung ass eng Observatioun, an d’Schlëssel-Erneieren ass eng aner. Déi éischt IKE-Verhandlung benotzt ee Parameterset, an d’Kandassociatioun, déi den Traffic dréit, kann duerno mat hirer eegener Politik nei verhandelt ginn. Eng Konfiguratioun, déi sech verbënnt an duerno no enger Zäit fält, ass meeschtens den zweeten Fall.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Den éischte Befehl weist dem Server seng Vue op déi opgeriicht Associatiounen, abegraff d’Kand-SA an hir Reschtliewensdauer. Den zweeten weist, wat de Clientprofil elo hält, an dat ass deen eenzegen Wee fir ze bestätegen, datt d’Politik, déi Dir gesat hutt, déi Politik ass, déi gëllt.

Kuckt eng komplett Schlëssel-Erneierung un, ier Dir Erfolleg erkläert. Dat heescht, d’Verbindung laang genuch op ze loossen, datt d’Kandassociatioun ersat gëtt, an duerno ze bestätegen, datt den Traffic weidergeet. Déi meescht Politik-Ofwäichunge verstoppen sech an deem Schrëtt, well déi éischt Verhandlung mat engem Set geléngt, deen d’Erneierung net unhëlt.

D’Zerécksetze ass de virege Parameterset, net en novollen Ersatz. Wann de Client nëmmen eng schwaach al Grupp ugebueden huet, ass d’Äntwert d’gemeinsam Politik vu Client a Server ze verbesseren, net déi Grupp um Gateway derbäizesetzen, wou all zukünftege Partner bis dohi kënne mat verhandelen.

Notéiert déi véier Parameteren, d’Grupp, de Beräich vun der Verbindung an d’Resultat vum Schlëssel-Erneieren. Dat ass eng kuerz Notiz, an et ass den Ënnerscheed tëscht engem Guide an enger Geschicht doriwwer, wéi den Tunnel deemools eropkomm ass.