Windows ir strongSwan: keturių IKE pasiūlymo transformacijų suderinimas

Abi šalys palaiko AES, abi priima SHA-256, o tunelis vis tiek nekeliamas. Pasiūlymas nepavyko komponente, kurio niekas nepalygino, dažniausiai raktų keitimosi grupėje. Šis vadovas perskaito tikrąjį mainus prieš ką nors keičiant, taiko vieną apribotą taisyklę ir palieka atsukimą, kuris atkuria ankstesnius parametrus.

Perskaitykite nesėkmę prieš keisdami grupę

„Taisyklės atitikimo klaida“ yra santrauka, o ne diagnozė. Ji reiškia, kad nebuvo rastas abipusiai priimtinas pasiūlymas, ir nieko nesako apie tai, kuris komponentas buvo atmestas. Vertinkite ją kaip tyrimo pradžią, o ne kaip įrodymą apie konkrečią grupę.

Atsakymas paprastai būna serverio pusėje. Tinkamo lygio strongSwan žurnalas išvardija iš kliento gautą pasiūlymą ir pasiūlymą, kurį jis sukonfigūruotas priimti, o dviejų sąrašų skirtumas įvardija nepavykusį komponentą.

Nepriimkite, kad klientas siūlo tai, ką teigia senas forumo įrašas. Aktyvus profilis ir jo įdiegta taisyklė lemia siūlomą sąrašą, o atnaujinta Windows versija gali pasiūlyti kitą rinkinį nei tas, kuris yra ekrano kopijoje, nuo kurios kopijuojate.

Užsirašykite abu sąrašus. Keturios transformacijų pozicijos ir viena grupė yra trumpas sąrašas, o jo palyginimas eilutė po eilutės užima mažiau laiko nei bet kuris eksperimentas. Keturias pozicijas lengva išlaikyti akyse. Žurnalo failo – ne.

Palyginkite kiekvieną transformaciją, o ne vieną pažįstamą pavadinimą

IKE pasiūlymas yra pasirinkimų rinkinys, kurie visi turi sutapti. Šifravimas saugo derybas, vientisumas arba PRF jas patvirtina, o Diffie-Hellman grupė sukuria naują raktų medžiagą. Pasiūlymas, kuris sutampa pirmaisiais dviem ir skiriasi trečiuoju, abiem šalims vis tiek nepriimtinas.

Du Windows laukai, kurie čia painiojami, priklauso skirtingoms fazėms. DHGroup taikomas IKE raktų keitimuisi, o PfsGroup – dukterinei asociacijai, kuri saugo srautą. Antrojo pakeitimas negali pataisyti pirmojo nesėkmės.

Grupių pavadinimai skiriasi tarp realizacijų, ir tai atskiras painiavos šaltinis. strongSwan rašo modp2048 ir ecp256, o Windows naudoja išvardijimo pavadinimus, tokius kaip Group14 ir ECP256, todėl palyginimas pirmiau turi išversti. Laikykite dviejų stulpelių užrašą su abiem pavadinimais. Tada kita neatitiktis suklasifikuojama per sekundes.

Taikykite vieną išsamią ir apribotą taisyklę

Palaikoma priemonė gimtajam IKEv2 profiliui yra IPsec taisyklė kiekvienam ryšiui, nustatoma kaip vienas objektas, o ne laukas po lauko. Pirmiau peržiūrėkite, tada taikykite, o ankstesnius parametrus pasilikite pakeitimų įraše.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Jungiklis -WhatIf parodo vietinį pakeitimą peržiūroje ir nieko netaiko. Tai naudinga ir kartu dažni spąstai, nes peržiūra įrodo tik tai, kad parametrai sintaksiškai priimtini vietinei cmdlet komandai. Ji nieko nesako apie tai, ar šliuzas priims gautą pasiūlymą.

Tuo pačiu suderinkite ir aprėptį. Ryšiui visų naudotojų saugykloje reikia atitinkamo visų naudotojų parametro, o to paties rodomo pavadinimo naudotojo profilio redagavimas pakeičia kitą objektą, kurio tunelis nenaudoja.

Tada prieš testuodami suderinkite strongSwan pusę su tuo pačiu rinkiniu. Suderintas pakeitimas abiejuose galuose yra vienintelė šio varianto versija, kuri susivienija; vienos pusės keitimas ir kartotinis bandymas iš naujo duoda žurnalą, pilną to paties atmetimo.

Patikrinkite mainus ir raktų atnaujinimą atskirai

Sėkmingas ryšys yra vienas stebėjimas, o raktų atnaujinimas – kitas. Pradinės IKE derybos naudoja vieną parametrų rinkinį, o dukterinė asociacija, kuri neša srautą, vėliau gali būti deramasi iš naujo su savo taisykle. Sąranka, kuri prisijungia ir po kurio laiko nukrenta, paprastai yra antrasis atvejis.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Pirmoji komanda rodo serverio požiūrį į nustatytas asociacijas, įskaitant dukterinę SA ir jos likusį galiojimo laiką. Antroji rodo, ką dabar turi kliento profilis, ir tai vienintelis būdas patvirtinti, kad nustatyta taisyklė yra galiojanti taisyklė.

Stebėkite visišką raktų atnaujinimą prieš paskelbdami sėkmę. Tai reiškia palikti ryšį pakeltą pakankamai ilgai, kad dukterinė asociacija būtų pakeista, ir tada patvirtinti, kad srautas tęsiasi. Dauguma taisyklių neatitikimų slypi būtent tame žingsnyje, nes pradinės derybos gali pavykti su rinkiniu, kurio atnaujinimas nepriima.

Atsukimas yra ankstesnis parametrų rinkinys, o ne nuolaidi atsarginė parinktis. Jei klientas siūlė tik silpną seną grupę, atsakymas yra pagerinti bendrą kliento ir serverio taisyklę, o ne pridėti tą grupę prie šliuzo, kur kiekviena būsima šalis galės derėtis žemyn iki jos.

Užsirašykite keturis parametrus, grupę, ryšio aprėptį ir raktų atnaujinimo rezultatą. Tai trumpas užrašas, ir jis yra skirtumas tarp vadovo ir istorijos apie tai, kaip tunelis kartą pakilo.