Windows-ഉം strongSwan-ഉം: IKE നിർദ്ദേശത്തിലെ നാല് പരിവർത്തനങ്ങൾ ഒത്തുചേർക്കൽ
കീ കൈമാറ്റ ഗ്രൂപ്പിൽ ഇരുവശവും യോജിക്കാത്തപ്പോൾ പൊതുവായ ഒരു സൈഫർ മതിയാകില്ല. നാല് പരിവർത്തനങ്ങളും താരതമ്യം ചെയ്ത ശേഷം ഒരു പരിമിത പ്രൊഫൈൽ നയം പ്രയോഗിക്കുക.
ഇരുവശവും AES പിന്തുണയ്ക്കുന്നു, രണ്ടും SHA-256 സ്വീകരിക്കുന്നു, എന്നിട്ടും ടണൽ ഉയരുന്നില്ല. ആരും താരതമ്യം ചെയ്യാത്ത ഒരു ഘടകത്തിൽ നിർദ്ദേശം പരാജയപ്പെട്ടു, സാധാരണയായി കീ കൈമാറ്റ ഗ്രൂപ്പിൽ. ഈ ഗൈഡ് എന്തെങ്കിലും മാറ്റുന്നതിന് മുൻപ് യഥാർത്ഥ കൈമാറ്റം വായിക്കുന്നു, ഒരു പരിമിത നയം പ്രയോഗിക്കുന്നു, മുൻ പാരാമീറ്ററുകൾ പുനഃസ്ഥാപിക്കുന്ന ഒരു റോൾബാക്കും വിടുന്നു.
ഒരു ഗ്രൂപ്പ് മാറ്റുന്നതിന് മുൻപ് പരാജയം വായിക്കുക
«നയ പൊരുത്തക്കേട് പിശക്» ഒരു സംഗ്രഹമാണ്, രോഗനിർണയമല്ല. പരസ്പരം സ്വീകാര്യമായ നിർദ്ദേശം കണ്ടെത്തിയില്ല എന്നാണ് അർത്ഥം, ഏത് ഘടകം നിരസിച്ചു എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നുമില്ല. ഒരു പ്രത്യേക ഗ്രൂപ്പിനെക്കുറിച്ചുള്ള തെളിവായല്ല, അന്വേഷണത്തിന്റെ തുടക്കമായി അതിനെ കാണുക.
ഉത്തരം സാധാരണയായി സെർവർ ഭാഗത്താണ്. ഉചിതമായ നിലയിലുള്ള strongSwan ലോഗ് ക്ലയന്റിൽ നിന്ന് ലഭിച്ച നിർദ്ദേശവും സ്വീകരിക്കാൻ ക്രമീകരിച്ച നിർദ്ദേശവും പട്ടികപ്പെടുത്തുന്നു, രണ്ട് പട്ടികകളുടെ വ്യത്യാസം പരാജയപ്പെട്ട ഘടകത്തെ പേരിടുന്നു.
പഴയ ഒരു ഫോറം പോസ്റ്റ് പറയുന്നത് ക്ലയന്റ് നൽകുന്നു എന്ന് കരുതരുത്. സജീവ പ്രൊഫൈലും അതിൽ ഇൻസ്റ്റാൾ ചെയ്ത നയവുമാണ് നൽകുന്ന പട്ടിക തീരുമാനിക്കുന്നത്, പുതുക്കിയ Windows ബിൽഡ് നിങ്ങൾ പകർത്തുന്ന സ്ക്രീൻഷോട്ടിലുള്ളതിൽ നിന്ന് വ്യത്യസ്തമായ ഒരു സെറ്റ് നൽകിയേക്കാം.
രണ്ട് പട്ടികകളും എഴുതി വെക്കുക. നാല് പരിവർത്തന സ്ഥാനങ്ങളും ഒരു ഗ്രൂപ്പും ചെറിയ പട്ടികയാണ്, വരി വരിയായി താരതമ്യം ചെയ്യാൻ ഏതൊരു പരീക്ഷണത്തെക്കാളും കുറഞ്ഞ സമയം മതി. നാല് സ്ഥാനങ്ങൾ കണ്ണിൽ സൂക്ഷിക്കാൻ എളുപ്പമാണ്. ലോഗ് ഫയൽ അല്ല.
ഒരു പരിചിത നാമമല്ല, ഓരോ പരിവർത്തനവും താരതമ്യം ചെയ്യുക
IKE നിർദ്ദേശം എല്ലാം ഒത്തുചേരേണ്ട തിരഞ്ഞെടുപ്പുകളുടെ ഒരു കൂട്ടമാണ്. എൻക്രിപ്ഷൻ ചർച്ചകളെ സംരക്ഷിക്കുന്നു, സമഗ്രത അല്ലെങ്കിൽ ഒരു PRF അത് സാക്ഷ്യപ്പെടുത്തുന്നു, Diffie-Hellman ഗ്രൂപ്പ് പുതിയ കീ വസ്തു സ്ഥാപിക്കുന്നു. ആദ്യ രണ്ടിലും ഒത്തുചേർന്ന് മൂന്നാമത്തേതിൽ വ്യത്യാസപ്പെടുന്ന നിർദ്ദേശം ഇരുവശത്തിനും ഇപ്പോഴും സ്വീകാര്യമല്ല.
ഇവിടെ കൂട്ടിക്കലർത്തുന്ന രണ്ട് Windows ഫീൽഡുകൾ വ്യത്യസ്ത ഘട്ടങ്ങളിൽ പെടുന്നു. DHGroup IKE കീ കൈമാറ്റത്തിന് ബാധകമാണ്, PfsGroup ട്രാഫിക്കിനെ സംരക്ഷിക്കുന്ന ചൈൽഡ് അസോസിയേഷന് ബാധകവുമാണ്. രണ്ടാമത്തേത് മാറ്റുന്നത് ആദ്യത്തെ പരാജയം പരിഹരിക്കില്ല.
ഗ്രൂപ്പുകളുടെ പേരുകൾ നിർവ്വഹണങ്ങൾക്കിടയിൽ വ്യത്യാസപ്പെടുന്നു, അത് ആശയക്കുഴപ്പത്തിന്റെ വേറിട്ട ഒരു ഉറവിടമാണ്. strongSwan modp2048, ecp256 എന്ന് എഴുതുന്നു, Windows എന്നാൽ Group14, ECP256 പോലുള്ള എണ്ണൽ പേരുകൾ ഉപയോഗിക്കുന്നു, അതിനാൽ താരതമ്യത്തിന് മുൻപ് വിവർത്തനം ചെയ്യണം. രണ്ട് പേരുകളുള്ള രണ്ട് നിരയുള്ള ഒരു കുറിപ്പ് സൂക്ഷിക്കുക. അപ്പോൾ അടുത്ത പൊരുത്തക്കേട് സെക്കൻഡുകൾക്കുള്ളിൽ വർഗ്ഗീകരിക്കപ്പെടും.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
ഒരു പൂർണ്ണവും പരിമിതവുമായ നയം പ്രയോഗിക്കുക
സ്വദേശീയ IKEv2 പ്രൊഫൈലിന് പിന്തുണയുള്ള ഉപകരണം ഓരോ കണക്ഷനുമുള്ള IPsec നയമാണ്, അത് ഫീൽഡ് തോറും അല്ല, ഒരു ഒബ്ജക്റ്റായി സജ്ജീകരിക്കുന്നു. ആദ്യം പ്രിവ്യൂ ചെയ്യുക, പിന്നീട് പ്രയോഗിക്കുക, മുൻ പാരാമീറ്ററുകൾ മാറ്റ രേഖയിൽ സൂക്ഷിക്കുക.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf സ്വിച്ച് പ്രാദേശിക മാറ്റം പ്രിവ്യൂ ചെയ്യുന്നു, ഒന്നും പ്രയോഗിക്കുന്നില്ല. അത് ഉപകാരപ്രദവും അതേസമയം സാധാരണ കെണിയുമാണ്, കാരണം പ്രിവ്യൂ പ്രാദേശിക cmdlet-ന് പാരാമീറ്ററുകൾ വാക്യഘടനാപരമായി സ്വീകാര്യമാണെന്ന് മാത്രം തെളിയിക്കുന്നു. ഗേറ്റ്വേ ഫലമായ നിർദ്ദേശം സ്വീകരിക്കുമോ എന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല.
അവിടെ തന്നെ വ്യാപ്തിയും ഒത്തുചേർക്കുക. എല്ലാ ഉപയോക്താക്കളുടെയും സ്റ്റോറിലുള്ള കണക്ഷന് അനുബന്ധ എല്ലാ-ഉപയോക്താവ് പാരാമീറ്റർ വേണം, അതേ പ്രദർശന നാമത്തോടെ ഉപയോക്താവിനു വേണ്ടിയുള്ള പ്രൊഫൈൽ എഡിറ്റ് ചെയ്യുന്നത് ടണൽ ഉപയോഗിക്കാത്ത മറ്റൊരു ഒബ്ജക്റ്റ് മാറ്റുന്നു.
പിന്നീട് പരീക്ഷണത്തിന് മുൻപ് strongSwan ഭാഗവും അതേ സെറ്റിലേക്ക് കൊണ്ടുവരിക. ഇരു അറ്റത്തും ഏകോപിപ്പിച്ച മാറ്റമാണ് ഇതിന്റെ ഒത്തുചേരുന്ന ഏക പതിപ്പ്; ഒരു ഭാഗം മാറ്റി വീണ്ടും വീണ്ടും ശ്രമിക്കുന്നത് അതേ നിരസനം നിറഞ്ഞ ലോഗ് നൽകുന്നു.
കൈമാറ്റവും കീ പുതുക്കലും വെവ്വേറെ പരിശോധിക്കുക
വിജയകരമായ കണക്ഷൻ ഒരു നിരീക്ഷണമാണ്, കീ പുതുക്കൽ മറ്റൊന്നും. പ്രാരംഭ IKE ചർച്ചകൾ ഒരു പാരാമീറ്റർ സെറ്റ് ഉപയോഗിക്കുന്നു, ട്രാഫിക് വഹിക്കുന്ന ചൈൽഡ് അസോസിയേഷന് പിന്നീട് സ്വന്തം നയത്തോടെ വീണ്ടും ചർച്ച ചെയ്യാം. കണക്ട് ചെയ്ത് കുറച്ചു കഴിഞ്ഞ് വീഴുന്ന ക്രമീകരണം സാധാരണയായി രണ്ടാമത്തെ കാര്യമാണ്.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *ആദ്യ കമാൻഡ് സ്ഥാപിത അസോസിയേഷനുകളെക്കുറിച്ചുള്ള സെർവറിന്റെ കാഴ്ച കാണിക്കുന്നു, ചൈൽഡ് SA-യും അതിന്റെ ശേഷിക്കുന്ന ആയുസ്സും ഉൾപ്പെടെ. രണ്ടാമത്തേത് ക്ലയന്റ് പ്രൊഫൈലിൽ ഇപ്പോൾ എന്തുണ്ടെന്ന് കാണിക്കുന്നു, നിങ്ങൾ സജ്ജീകരിച്ച നയമാണ് പ്രാബല്യത്തിലുള്ള നയം എന്ന് ഉറപ്പാക്കാനുള്ള ഏക മാർഗ്ഗം അതാണ്.
വിജയം പ്രഖ്യാപിക്കുന്നതിന് മുൻപ് പൂർണ്ണ കീ പുതുക്കൽ നിരീക്ഷിക്കുക. ചൈൽഡ് അസോസിയേഷൻ മാറ്റപ്പെടാൻ മതിയായ സമയം കണക്ഷൻ ഉയർത്തി നിർത്തി, ട്രാഫിക് തുടരുന്നുവെന്ന് ഉറപ്പാക്കുക എന്നതാണ് അർത്ഥം. മിക്ക നയ പൊരുത്തക്കേടുകളും ആ ഘട്ടത്തിൽ ഒളിഞ്ഞിരിക്കുന്നു, കാരണം പ്രാരംഭ ചർച്ച പുതുക്കൽ സ്വീകരിക്കാത്ത ഒരു സെറ്റോടെയും വിജയിച്ചേക്കാം.
റോൾബാക്ക് മുൻ പാരാമീറ്റർ സെറ്റാണ്, അയഞ്ഞ ബദലല്ല. ക്ലയന്റ് ദുർബലമായ പഴയ ഗ്രൂപ്പ് മാത്രം നൽകിയെങ്കിൽ, ഉത്തരം ക്ലയന്റിന്റെയും സെർവറിന്റെയും പൊതു നയം മെച്ചപ്പെടുത്തുക എന്നതാണ്, ഭാവിയിലെ ഏതൊരു വശത്തിനും അതിലേക്ക് താഴേക്ക് ചർച്ച ചെയ്യാൻ കഴിയുന്ന ഗേറ്റ്വേയിലേക്ക് ആ ഗ്രൂപ്പ് ചേർക്കലല്ല.
നാല് പാരാമീറ്ററുകൾ, ഗ്രൂപ്പ്, കണക്ഷന്റെ വ്യാപ്തി, കീ പുതുക്കലിന്റെ ഫലം എന്നിവ രേഖപ്പെടുത്തുക. ഇത് ഒരു ചെറിയ കുറിപ്പാണ്, ഗൈഡും ടണൽ ഒരിക്കൽ ഉയർന്ന കഥയും തമ്മിലുള്ള വ്യത്യാസം അതാണ്.