X'jinkludi proposta IPsec? Oqsma tal-IKE u l-ESP

L-IKE jibda, iż-żewġ pari jħabbru l-AES, u l-mina xorta waħda tfalli b'NO_PROPOSAL_CHOSEN. Il-log isemmi l-proposta imma mhux il-qasam li ma qabilx. Proposta hija offerta sħiħa waħda, u qasam wieħed inkompatibbli jħassar il-kombinazzjoni kollha u mhux biss dik il-linja. Li taqrah bħala borża ta' għażliet indipendenti ta' algoritmi huwa r-raġuni tas-soltu għaliex in-nuqqas ta' qbil jibqa' inviżibbli.

Żewġ negozjati b'listi ta' proposti separati

L-IKEv2 jibni żewġ assoċjazzjonijiet ta' sigurtà. L-ewwel waħda hija l-IKE SA, li tipproteġi l-iskambju ta' kontroll innifsu, u t-tieni hija l-CHILD SA, li ġġorr it-traffiku tiegħek permezz tal-ESP. Kull waħda għandha l-lista tal-proposti tagħha, u pari jista' jaċċetta waħda u jirrifjuta l-oħra.

Dan il-qsim jispjega konfużjoni komuni: IKE SA li taħdem turi biss li l-algoritmi tal-kanal tal-kontroll qablu. Jekk il-proposta CHILD tfalli, il-mina ma ġġorr ebda pakkett, anki jekk l-ewwel fażi tkun lest u l-logs jidhru sħaħ fil-parti ta' fuq.

L-ordni fi ħdan kull lista wkoll huwa importanti. Ir-rispons jaghżel mill-offerti ordnati tal-inizjatur, għalhekk li jitmexxa dħul kompatibbli b'mod wiesa' fuq wieħed dejjaq ibiddel liema sett jiġi installat mingħajr ma jinbidel l-isem ta' ebda algoritmu. Orbot dik l-ordni fil-konfigurazzjoni minflok tiddependi fuq il-valuri prestabbiliti. Ordni stabbli jagħmel ukoll il-paragun tal-logs bejn is-siti sinifikanti.

Liema oqsma jappartjenu għal liema proposta

Is-sett tal-oqsma huwa żgħir, imma mhuwiex identiku fiż-żewġ negozjati. Aqra t-tabella ringiela b'ringiela, għax qasam f'kolonna waħda jista' jkun nieqes fl-oħra. Is-sintassi tvarja skont l-implimentazzjoni; id-dokumentazzjoni tal-proposti ta' strongSwan hija referenza konkreta waħda.

Il-qasam tal-kriptaġġ isemmi ċ-ċifrar u, f'ħafna sintassi, it-tul tal-muftieħ tiegħu. Il-qasam tal-integrità isemmi l-hash użat biex jawthentika t-test cifrat, u l-PRF isemmi l-funzjoni li tislet materjal tal-muftieħ għall-IKE SA. Il-grupp DH jistabbilixxi materjal sigriet kondiviż ġdid, u għalhekk jidher fuq iż-żewġ naħat imma għal skopijiet differenti.

In-numri tas-sekwenza estiżi jappartjenu biss għat-triq tad-data. Huma jwessgħu l-ispazju tas-sekwenza u jiġu nnegozjati bħala parti mill-proposta CHILD, għalhekk nuqqas ta' qbil hemmhekk jirrifjuta offerta CHILD waqt li jħalli l-IKE SA mhux mitmuma.

Kif tintgħażel offerta sħiħa waħda

Kull proposta hija sett, u r-rispons ifittex sett fejn kull qasam meħtieġ ikun aċċettabbli. Żewġ listi jistgħu t-tnejn ikun fihom AES u SHA-256 u xorta ma jkollhom ebda dħul kompatibbli, għax it-tul tal-muftieħ, il-PRF jew il-grupp DH huma differenti. Il-paragun isir għal kull proposta, mhux għal kull algoritmu.

Meta xejn ma jaqbel, ir-rispons jibgħat NO_PROPOSAL_CHOSEN bit-tip ta' SA li falla. Aqra liema lista ta' proposti tirreferi għaliha n-notifika qabel ma tbiddel il-konfigurazzjoni; li tbiddel l-algoritmi tal-ESP meta l-proposta IKE tkun ġiet miċħuda jaħli ċiklu ta' debug.

Biha taf il-imġiba tal-għażla meta taġġusta profil. Xi implimentazzjonijiet jippreferu l-ordni tal-inizjatur, oħrajn jerġgħu jordnaw skont il-politika lokali, għalhekk sett li jaħdem bejn żewġ bejjiegħa jista' jisparixxi meta taqleb liema naħa tibda l-konnessjoni.

L-AEAD ineħħi qasam minflok iżid wieħed

L-AES-GCM u ChaCha20-Poly1305 jawthentikaw u jikkriptaw f'operazzjoni waħda. Meta wieħed minnhom jintgħażel għall-ESP, l-algoritmu tal-integrità ma jiġix nnegozjat separatament, għax il-kostruzzjoni AEAD diġà tkoprih. Għalhekk proposta li tqabbel AES-GCM ma' SHA-256 hija żejda fl-aħjar każ u miċħuda fl-agħar każ.

Il-PRF jibqa' separat fuq in-naħa tal-IKE, għax ivar il-muftiet għall-kanal tal-kontroll minflok jipproteġi l-payloads. Għalhekk proposta IKE tista' legalment tgħaqqad ċifrar AEAD ma' PRF u grupp DH, filwaqt li l-proposta ESP korrispondenti telenka biss iċ-ċifrar AEAD u l-grupp PFS fakultattiv.

It-tul tal-muftieħ huwa parti mit-token tal-kriptaġġ, għalhekk AES-128-GCM u AES-256-GCM huma offerti differenti. Profil kopjat minn gwida li assuma muftiet 256-bit mhux se jaqbel ma' endpoint ikkonfigurat għal 128-bit, anki jekk iż-żewġ linji jgħidu AES-GCM. Żewġ pari jistgħu jaqblu dwar il-familja taċ-ċifrari u xorta jirrifjutaw lil xulxin minħabba n-numru wara s-sing.

Aqra l-SA installata, mhux il-konfigurazzjoni

Il-lista tal-proposti kkonfigurata hija offerta; l-SA installata hija r-riżultat. Fuq strongSwan u kernel Linux, iż-żewġ veduti huma disponibbli:

sudo swanctl --list-sas
sudo ip xfrm state
sudo ip xfrm policy

swanctl --list-sas jipprintja l-algoritmi nnegozjati għal kull SA, inkluż jekk il-CHILD jużax AEAD. ip xfrm state juri x'installat fil-fatt il-kernel, u hemmhekk tikkonferma li t-tiġdid tal-muftiet ma waqax lura għal sett differenti minn dak li ddokumentajt.

Issejvja dak l-output ħdejn il-konfigurazzjoni wara tiswija. Meta aġġornament tal-klijent ibiddel il-valuri prestabbiliti tiegħu, is-sett irreġistrat jagħtik linja bażi għall-paragun, u l-paragun jindika l-qasam li ċċaqlaq minflok jibda l-investigazzjoni mill-bidu.