Windows и strongSwan: усогласување на четирите трансформации во IKE предлог

Двете страни поддржуваат AES, двете прифаќаат SHA-256, а тунелот сепак не се крева. Предлогот не успеа на компонента што никој не ја спореди, обично групата за размена на клучеви. Овој прирачник ја чита вистинската размена пред да смени нешто, применува една ограничена политика и остава враќање што ги обновува претходните параметри.

Прочитајте го неуспехот пред да смените група

„Грешка при совпаѓање на политиката“ е резиме, а не дијагноза. Таа значи дека не е најден взаемно прифатлив предлог и не кажува ништо за тоа која компонента е одбиена. Третирајте ја како почеток на истрагата, а не како доказ за одредена група.

Одговорот обично е на страната на серверот. Дневникот на strongSwan на соодветно ниво ги наведува предлогот добиен од клиентот и предлогот што е конфигуриран да го прифати, а разликата меѓу двете листи ја именува компонентата што не успеа.

Не претпоставувајте дека клиентот го нуди тоа што го тврди стара објава на форум. Активниот профил и неговата инсталирана политика ја одредуваат понудената листа, а ажурирана верзија на Windows може да понуди различен сет од оној на сликата од екранот од која копирате.

Запишете ги двете листи. Четири позиции на трансформација и една група се кратка листа, а нејзиното споредување ред по ред трае помалку време од кој било експеримент. Четири позиции лесно се држат на око. Дневничката датотека не.

Споредете ја секоја трансформација, а не едно познато име

IKE предлогот е збир избори што сите мора да се совпаднат. Шифрирањето ги штити преговорите, интегритетот или PRF го потврдува, а групата Diffie-Hellman создава свеж клучен материјал. Предлог што се совпаѓа на првите две и се разликува на третата и понатаму е неприфатлив за двете страни.

Двете полиња на Windows што тука се мешаат припаѓаат на различни фази. DHGroup се однесува на размената на клучеви IKE, а PfsGroup на детската асоцијација што го штити сообраќајот. Промената на второто не може да го поправи неуспехот во првото.

Имињата на групите се разликуваат меѓу имплементациите и тоа е посебен извор на забуна. strongSwan пишува modp2048 и ecp256, додека Windows користи имиња од набројување како Group14 и ECP256, па споредбата мора да преведе пред да спореди. Држете белешка во две колони со двете имиња. Тогаш следното несовпаѓање се класифицира за секунди.

Примените една целосна и ограничена политика

Поддржаната алатка за нативен IKEv2 профил е IPsec политика за секоја врска, поставена како еден објект, а не поле по поле. Прво прегледајте ја, потоа применете ја, а претходните параметри чувајте ги во записот за промена.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Прекинувачот -WhatIf го прикажува локалната промена во преглед и не применува ништо. Тоа е корисно и истовремено е честа стапица, бидејќи прегледот докажува само дека параметрите се синтаксички прифатливи за локалната cmdlet команда. Не кажува ништо за тоа дали портата ќе го прифати добиениот предлог.

Истовремено усогласете го и опсегот. Врската во складиштето за сите корисници бара соодветен параметар за сите корисници, а уредувањето на профилот по корисник со истото прикажано име менува друг објект што тунелот не го користи.

Потоа пред тестирањето усогласете ја страната на strongSwan на истиот сет. Усогласената промена на двата краја е единствената верзија на ова што конвергира; менување на една страна и постојано повторно обидување дава дневник полн со исто одбивање.

Проверете ја размената и обновувањето на клучевите одделно

Успешната врска е едно набљудување, а обновувањето на клучевите е друго. Првичните преговори IKE користат еден сет параметри, а детската асоцијација што го носи сообраќајот може подоцна повторно да се преговара со сопствена политика. Поставка што се поврзува и потоа паѓа по извесно време обично е вториот случај.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Првата команда го покажува погледот на серверот на воспоставените асоцијации, вклучувајќи ја детската SA и нејзиниот преостанат век. Втората покажува што сега држи профилот на клиентот, и тоа е единствениот начин да се потврди дека поставената политика е политиката на сила.

Набљудувајте целосно обновување на клучевите пред да прогласите успех. Тоа значи врската да остане крената доволно долго за детската асоцијација да се замени, а потоа да се потврди дека сообраќајот продолжува. Повеќето несовпаѓања на политиката се кријат токму во тој чекор, бидејќи првичните преговори можат да успеат со сет што обновувањето не го прифаќа.

Враќањето е претходниот сет параметри, а не попустлива резерва. Ако клиентот понудил само слаба стара група, одговорот е да се подобри заедничката политика на клиентот и серверот, а не таа група да се додаде на портата каде секоја идна страна ќе може да преговара надолу до неа.

Запишете ги четирите параметри, групата, опсегот на врската и резултатот од обновувањето на клучевите. Тоа е кратка белешка и таа е разликата меѓу прирачник и приказна за тоа како тунелот еднаш се крена.