Windows un strongSwan: četru IKE piedāvājuma transformāciju saskaņošana

Abas puses atbalsta AES, abas pieņem SHA-256, un tunelis tomēr neceļas. Piedāvājums neizdevās komponentā, kuru neviens nesalīdzināja, parasti atslēgu apmaiņas grupā. Šī rokasgrāmata nolasa faktisko apmaiņu pirms kaut kā maiņas, piemēro vienu ierobežotu politiku un atstāj atritināšanu, kas atjauno iepriekšējos parametrus.

Izlasiet neveiksmi pirms grupas maiņas

«Politikas atbilstības kļūda» ir kopsavilkums, nevis diagnoze. Tā nozīmē, ka nav atrasts abpusēji pieņemams piedāvājums, un nekas nav teikts par to, kurš komponents tika noraidīts. Uztveriet to kā izmeklēšanas sākumu, nevis kā pierādījumu par konkrētu grupu.

Atbilde parasti ir servera pusē. Atbilstoša līmeņa strongSwan žurnāls uzskaita no klienta saņemto piedāvājumu un piedāvājumu, kuru tas ir konfigurēts pieņemt, un abu sarakstu starpība nosauc neizdevušos komponentu.

Nepieņemiet, ka klients piedāvā to, ko apgalvo vecs foruma ieraksts. Aktīvais profils un tā instalētā politika nosaka piedāvāto sarakstu, un atjaunināta Windows versija var piedāvāt citu kopumu nekā tas, kas ir ekrānuzņēmumā, no kura jūs kopējat.

Pierakstiet abus sarakstus. Četras transformāciju pozīcijas un viena grupa ir īss saraksts, un tā salīdzināšana rindu pa rindai aizņem mazāk laika nekā jebkurš eksperiments. Četras pozīcijas ir viegli noturēt acu priekšā. Žurnāla failu — ne.

Salīdziniet katru transformāciju, nevis vienu pazīstamu nosaukumu

IKE piedāvājums ir izvēļu kopums, kurām visām ir jāsakrīt. Šifrēšana aizsargā sarunas, integritāte vai PRF tās apstiprina, un Diffie-Hellman grupa izveido svaigu atslēgas materiālu. Piedāvājums, kas sakrīt pirmajos divos un atšķiras trešajā, abām pusēm joprojām nav pieņemams.

Divi Windows lauki, kas šeit tiek sajaukti, pieder pie dažādām fāzēm. DHGroup attiecas uz IKE atslēgu apmaiņu, bet PfsGroup — uz bērna asociāciju, kas aizsargā datplūsmu. Otrā maiņa nevar salabot pirmā neveiksmi.

Grupu nosaukumi atšķiras starp realizācijām, un tas ir atsevišķs apjukuma avots. strongSwan raksta modp2048 un ecp256, bet Windows izmanto uzskaitījuma nosaukumus, piemēram, Group14 un ECP256, tāpēc salīdzinājumam vispirms jāpārtulko. Turiet divu kolonnu piezīmi ar abiem nosaukumiem. Tad nākamā neatbilstība tiek klasificēta sekundēs.

Piemērojiet vienu pilnīgu un ierobežotu politiku

Atbalstītais rīks vietējam IKEv2 profilam ir IPsec politika katram savienojumam, kas tiek iestatīta kā viens objekts, nevis lauks pēc lauka. Vispirms to priekšskatiet, pēc tam piemērojiet, un saglabājiet iepriekšējos parametrus izmaiņu ierakstā.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Slēdzis -WhatIf priekšskata vietējās izmaiņas un neko nepiemēro. Tas ir noderīgi un vienlaikus ir izplatīts slazds, jo priekšskatījums pierāda tikai to, ka parametri ir sintaktiski pieņemami vietējai cmdlet komandai. Tas neko nepasaka par to, vai vārteja pieņems iegūto piedāvājumu.

Tajā pašā laikā saskaņojiet arī tvērumu. Savienojumam visu lietotāju krātuvē ir vajadzīgs atbilstošais visu lietotāju parametrs, un lietotāja profila rediģēšana ar to pašu parādāmo nosaukumu maina citu objektu, kuru tunelis neizmanto.

Pēc tam pirms testēšanas saskaņojiet strongSwan pusi ar to pašu kopumu. Saskaņotas izmaiņas abos galos ir vienīgā šī varianta versija, kas saplūst; vienas puses maiņa un atkārtoti mēģinājumi dod žurnālu, kas pilns ar to pašu noraidījumu.

Pārbaudiet apmaiņu un atslēgas atjaunošanu atsevišķi

Veiksmīgs savienojums ir viens novērojums, un atslēgas atjaunošana ir cits. Sākotnējās IKE sarunas izmanto vienu parametru kopumu, un bērna asociāciju, kas pārvadā datplūsmu, vēlāk var pārrunāt no jauna ar savu politiku. Iestatījums, kas pieslēdzas un pēc kāda laika nokrīt, parasti ir otrais gadījums.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Pirmā komanda parāda servera skatījumu uz izveidotajām asociācijām, tostarp bērna SA un tā atlikušo mūžu. Otrā parāda, kas klienta profilā tagad ir, un tas ir vienīgais veids, kā apstiprināt, ka iestatītā politika ir spēkā esošā politika.

Vērojiet pilnīgu atslēgas atjaunošanu, pirms paziņojat par panākumiem. Tas nozīmē atstāt savienojumu paceltu pietiekami ilgi, lai bērna asociācija tiktu nomainīta, un pēc tam apstiprināt, ka datplūsma turpinās. Lielākā daļa politiku neatbilstību slēpjas tieši šajā solī, jo sākotnējās sarunas var izdoties ar kopumu, kuru atjaunošana nepieņem.

Atritināšana ir iepriekšējais parametru kopums, nevis pieļāvīgs rezerves variants. Ja klients piedāvāja tikai vāju vecu grupu, atbilde ir uzlabot kopīgo klienta un servera politiku, nevis pievienot šo grupu vārtejai, kur katra nākamā puse varēs pārrunāt uz leju līdz tai.

Pierakstiet četrus parametrus, grupu, savienojuma tvērumu un atslēgas atjaunošanas rezultātu. Tas ir īss pieraksts, un tas ir atšķirība starp rokasgrāmatu un stāstu par to, kā tunelis reiz pacēlās.