IKEv2 NO_PROPOSAL_CHOSEN: liema stadju ċaħad is-suite?

NO_PROPOSAL_CHOSEN f'log jibgħat lin-nies lejn iċ-ċavetta kondiviża minn qabel, u l-iżball jibqa' wkoll wara t-tibdil. Qatt ma kien problema ta' kredenzjali: il-peer ċaħad kull proposta offruta għal dak l-iskambju, li hija dikjarazzjoni dwar algoritmi u mhux dwar identità. L-ewwel mistoqsija utli mhix liema algoritmu għandu jiġi editjat, iżda liema skambju ġie miċħud. Wieġeb dan qabel ma tqabbel xejn. Imbagħad qabbel is-suite sħiħa offruta mas-suite sħiħa li l-peer jippermetti.

L-ewwel: liema skambju ġie miċħud

IKEv2 jinnegozja żewġ tipi ta' assoċjazzjoni. L-IKE SA jipproteġi n-negozjar innifsu, u l-CHILD SA jipproteġi t-traffiku. Kull wieħed għandu s-sett ta' proposti tiegħu, u kull wieħed jista' jfalli bl-istess notifika. Ċaħda waqt in-negozjar IKE inizjali u ċaħda waqt in-negozjar CHILD jeħtieġu tiswijiet differenti, u il-log normalment isemmi l-iskambju linja jew tnejn fuq in-notifika. Aqra dawn iż-żewġ linji flimkien, inkella se teditja l-lista ta' proposti ħażina.

In-notifika waħedha ma tidentifikax l-iskambju. Il-linja ta' fuqha ssemmi l-SA li qed jiġi nnegozjat, u dak l-isem jindika l-lista ta' proposti li għandha tiġi eżaminata.

Qabbel suites sħaħ, mhux kliem ewlenin individwali

Proposta hija kombinazzjoni: algoritmu ta' encryption, integrità jew AEAD, grupp ta' skambju ta' ċwievet u kwalunkwe funzjoni psewdo-kaxwali. Li tqabbel biss l-isem tal-encryption hija l-iżball tas-soltu, għax żewġ peers jistgħu jaqblu fuq AES-256 u xorta ma jaqblux fuq SHA-1 kontra SHA-256. Ikteb is-suite offruta u dik permessa ħdejn xulxin fl-istadju li falla, imbagħad fittex l-intersezzjoni vojta.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Ivverifika wkoll li ż-żewġ implimentazzjonijiet jappoġġjaw dak li kkonfigurajt. Isem ikkupjat minn pjattaforma oħra jista' jidher sintattikament familjari filwaqt li l-plugin jew l-implimentazzjoni hija kompletament nieqsa.

Is-suite IKE u s-suite ESP huma oġġetti differenti

L-editjar tal-proposta IKE mhu se jsewwi proposta CHILD miċħuda, u lanqas bil-maqlub. F'strongSwan dawn huma settings separati, madwar proposals = aes256-sha256-modp2048 għall-IKE SA u lista ESP separata għall-CHILD SA. Ibdel il-lista li taqbel mal-iskambju li falla, imbagħad aqra mill-ġdid il-log minflok ma tassumi li t-tiswija ħadmet.

Għall-CHILD SA, is-setting rilevanti hija l-lista ta' proposti ESP, mhux dik IKE. L-ikkupjar tal-linja IKE fiha jipproduċi konfigurazzjoni li tiġi analizzata iżda tinnegozja l-oġġett ħażin.

Tunnel li jaħdem u jfalli fil-ġedded taċ-ċavetta

Jekk it-tunnel ħadem għal siegħa u mbagħad falla, in-negozjar inizjali mhuwiex il-problema. Ġedded taċ-ċavetta jista' jittestja kundizzjonijiet differenti: grupp ta' skambju ta' ċwievet differenti wara l-ewwel skambju, nuqqas ta' qbil fil-ħajja bejn il-peers, jew politika tar-responder li nbidlet. Żomm it-timestamp tal-ġedded u l-identifikaturi tal-assoċjazzjoni miż-żewġ naħat. Dak ix-xejra jeħtieġ tqabbil ta' proposti fil-ġedded, mhux timeout itwal. Tibdil fit-timeout jaħbi s-sintomu u jħalli n-nuqqas ta' qbil fil-post.

ipsec statusall juri kull assoċjazzjoni u l-algoritmi li fil-fatt ġew innegozjati. Dak l-output huwa l-eħfef mod biex tikkonferma liema lista ntużat, u jifred żball ta' konfigurazzjoni minn tunnel antik li qatt ma reġa' ġie nnegozjat.

ipsec statusall | grep -E "IKE:|ESP:"

Agħżel intersezzjoni, imbagħad ikkonferma ż-żewġ fażijiet

Staqsi lill-amministratur jagħżel intersezzjoni moderna dokumentata li ż-żewġ peers jappoġġjaw, u jiktibha. Issolvix l-iżball billi tattiva kull algoritmu antik jew billi tiddiżattiva l-verifika tal-identità, għax l-ebda waħda ma tiġi minn ċaħda. Wara t-tibdil, stabbilixxi konnessjoni ġdida u mbagħad tisforza ġedded taċ-ċavetta. L-ewwel konnessjoni waħedha ma tipprova li l-mogħdija tal-ġedded taħdem.

Żomm il-kombinazzjoni aċċettata mal-verżjonijiet tal-firmware. Jekk l-iżball li jmiss jikkonċerna l-selectors tat-traffiku, ittrattah b'mod separat, għax il-qbil dwar il-kriptografija ma jgħid xejn dwar liema subnets it-tunnel jipproteġi. Id-dokumentazzjoni tal-proposti ta' strongSwan tkopri s-sintassi għaż-żewġ listi.