IKEv2 NO_PROPOSAL_CHOSEN: kurā posmā kopums tika noraidīts?

NO_PROPOSAL_CHOSEN žurnālā sūta cilvēkus pie iepriekš kopīgotās atslēgas, un kļūda saglabājas arī pēc izmaiņām. Tas nekad nav bijusi akreditācijas datu problēma: partneris noraidīja katru šai apmaiņai piedāvāto priekšlikumu, kas ir apgalvojums par algoritmiem, nevis identitāti. Pirmais lietderīgais jautājums nav, kuru algoritmu labot, bet gan kura apmaiņa tika noraidīta. Atbildiet uz to pirms jebkāda salīdzināšanas. Pēc tam salīdziniet visu piedāvāto kopumu ar visu kopumu, ko partneris atļauj.

Vispirms: kura apmaiņa tika noraidīta

IKEv2 risina divu veidu asociācijas. IKE SA aizsargā pašas sarunas, un CHILD SA aizsargā datu plūsmu. Katrai ir savs priekšlikumu kopums, un katra var neizdoties ar to pašu paziņojumu. Noraidījums sākotnējo IKE sarunu laikā un noraidījums CHILD sarunu laikā prasa dažādus labojumus, un žurnāls parasti nosauc apmaiņu vienu vai divas rindas virs paziņojuma. Lasiet šīs divas rindas kopā, citādi labosiet nepareizo priekšlikumu sarakstu.

Vien paziņojums apmaiņu neidentificē. Rinda virs tā nosauc risināmo SA, un šis nosaukums norāda uz pārbaudāmo priekšlikumu sarakstu.

Salīdziniet pilnus kopumus, nevis atsevišķus atslēgvārdus

Priekšlikums ir kombinācija: šifrēšanas algoritms, integritāte vai AEAD, atslēgu apmaiņas grupa un jebkura pseidogadījuma funkcija. Salīdzināt tikai šifrēšanas nosaukumu ir ierastā kļūda, jo divi partneri var vienoties par AES-256 un tomēr nesaskanēt par SHA-1 pret SHA-256. Neizdevušajā posmā pierakstiet piedāvātos un atļautos kopumus blakus, pēc tam meklējiet tukšo šķēlumu.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Pārbaudiet arī, vai abas implementācijas atbalsta to, ko esat konfigurējis. No citas platformas nokopēts nosaukums var izskatīties sintaktiski pazīstams kamēr spraudnis vai implementācija pilnībā trūkst.

IKE kopums un ESP kopums ir dažādi objekti

IKE priekšlikuma labošana nelabos noraidīto CHILD priekšlikumu, un otrādi arī ir taisnība. strongSwan tie ir atsevišķi iestatījumi, aptuveni proposals = aes256-sha256-modp2048 IKE SA un atsevišķs ESP saraksts CHILD SA. Mainiet sarakstu, kas atbilst neizdevušajai apmaiņai, pēc tam lasiet žurnālu vēlreiz, nevis pieņemiet, ka labojums ir strādājis.

CHILD SA attiecīgais iestatījums ir ESP priekšlikumu saraksts, nevis IKE. IKE rindas kopēšana tajā rada konfigurāciju, kas tiek parsēta, bet risina nepareizo objektu.

Strādājošs tunelis, kas neizdodas atslēgas atjaunošanā

Ja tunelis darbojās stundu un pēc tam neizdevās, sākotnējās sarunas nav problēma. Atslēgas atjaunošana var pārbaudīt citus apstākļus: citu atslēgu apmaiņas grupu pēc pirmās apmaiņas, dzīves ilguma neatbilstību starp partneriem vai mainītu atbildētāja politiku. Saglabājiet atjaunošanas laikspiedolu un asociācijas identifikatorus no abām pusēm. Šāds modelis prasa priekšlikumu salīdzinājumu atjaunošanas laikā, nevis garāku taimautu. Taimauta maiņa slēpj simptomu un atstāj neatbilstību vietā.

ipsec statusall parāda katru asociāciju un faktiski saskaņotos algoritmus. Šī izvade ir ātrākais veids, kā apstiprināt, kurš saraksts tika izmantots, un tā atdala konfigurācijas kļūdu no novecojuša tuneļa, kas nekad netika atkārtoti saskaņots.

ipsec statusall | grep -E "IKE:|ESP:"

Izvēlieties šķēlumu, pēc tam apstipriniet abas fāzes

Lūdziet administratoram izvēlēties dokumentētu mūsdienīgu šķēlumu, ko atbalsta abi partneri, un pierakstīt to. Nerisiniet kļūdu, iespējojot visus vecos algoritmus vai atslēdzot identitātes pārbaudi, jo neviens no tiem neizriet no noraidījuma. Pēc izmaiņām izveidojiet jaunu savienojumu un pēc tam piespiediet atslēgas atjaunošanu. Tikai pirmais savienojums nepierāda, ka atjaunošanas ceļš darbojas.

Saglabājiet pieņemto kombināciju kopā ar programmaparatūras versijām. Ja nākamā kļūda attiecas uz datu plūsmas selektoriem, izskatiet to atsevišķi, jo vienošanās par kriptogrāfiju neko neizsaka par to, kurus apakštīklus tunelis aizsargā. strongSwan priekšlikumu dokumentācija aptver abu sarakstu sintaksi.