Windows u strongSwan: l-allinjament tal-erba’ trasformazzjonijiet fi proposta IKE
Ċifra komuni mhi biżżejjed meta l-pari ma jaqblux dwar il-grupp tal-iskambju tal-ċwievet. Qabbel l-erba’ trasformazzjonijiet kollha, imbagħad applika politika waħda tal-profil limitata.
Iż-żewġ pari jappoġġjaw AES, it-tnejn jaċċettaw SHA-256, u xorta l-mina ma titla’. Il-proposta falliet fuq komponent li ħadd ma qabbel, normalment il-grupp tal-iskambju tal-ċwievet. Dan il-gwida jaqra l-iskambju reali qabel ma jinbidel xejn, japplika politika waħda limitata u jħalli rkupru li jġib lura l-parametri preċedenti.
Aqra l-falliment qabel ma tibdel grupp
„Żball ta’ qbil tal-politika“ huwa sommarju, mhux dijanjosi. Ifisser li ma nstab l-ebda proposta aċċettabbli min-naħat kollha, u ma jgħid xejn dwar liema komponent ġie miċħud. Ittrattah bħala l-bidu tal-investigazzjoni u mhux bħala prova dwar grupp partikolari.
It-tweġiba normalment tkun fuq in-naħa tas-server. Reġistru strongSwan fuq livell xieraq jelenka l-proposta li rċieva mill-klijent u l-proposta li huwa kkonfigurat biex jaċċetta, u d-differenza bejn iż-żewġ listi ssemmi l-komponent li falla.
Tassumix li l-klijent joffri dak li tgħid post antika fuq forum. Il-profil attiv u l-politika installata tiegħu jiddeterminaw il-lista offruta, u build ta’ Windows aġġornat jista’ joffri sett differenti minn dak fl-istampa tal-iskrin li qed tikkopja.
Ikteb iż-żewġ listi. Erba’ pożizzjonijiet ta’ trasformazzjoni u grupp wieħed huma lista qasira, u li tqabbilha linja b’linja tieħu inqas ħin minn kwalunkwe esperiment. Erba’ pożizzjonijiet huma faċli żżommhom fil-vista. Fajl tar-reġistru le.
Qabbel kull trasformazzjoni, mhux isem wieħed familjari
Proposta IKE hija sett ta’ għażliet li kollha jridu jaqblu. Il-kriptaġġ jipproteġi n-negozjar, l-integrità jew PRF tawtentikah, u grupp Diffie-Hellman joħloq materjal tal-ċavetta ġdid. Proposta li taqbel fl-ewwel tnejn u tvarja fit-tielet għadha mhix aċċettabbli għaż-żewġ pari.
Iż-żewġ oqsma ta’ Windows li jiġu mħawda hawn jappartjenu għal fażijiet differenti. DHGroup japplika għall-iskambju tal-ċwievet IKE, filwaqt li PfsGroup japplika għall-assoċjazzjoni tifel li tipproteġi t-traffiku. Li tbiddel it-tieni ma tistax issewwi falliment fl-ewwel.
L-ismijiet tal-gruppi jvarjaw bejn l-implimentazzjonijiet, u din hija sors ta’ konfużjoni separat. strongSwan jikteb modp2048 u ecp256 filwaqt li Windows juża ismijiet ta’ enumerazzjoni bħal Group14 u ECP256, għalhekk tqabbil irid jittraduca qabel ma jqabbel. Żomm nota f’żewġ kolonni biż-żewġ ismijiet. Imbagħad id-diskrepanza li jmiss tiġi kklassifikata fi ftit sekondi.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
Applika politika waħda sħiħa u limitata
L-għodda appoġġjata għal profil IKEv2 nattiv hija politika IPsec għal kull konnessjoni, issettjata bħala oġġett wieħed u mhux qasam b’qasam. Deherha l-ewwel fil-preview, imbagħad applika, u żomm il-parametri preċedenti fir-rekord tal-bidla.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIfIs-swiċċ -WhatIf jista’ l-bidla lokali fil-preview u ma japplika xejn. Dan huwa utli u fl-istess ħin hija nassa komuni, għax il-preview turi biss li l-parametri huma sintattikament aċċettabbli għall-cmdlet lokali. Ma tgħid xejn dwar jekk il-gateway hux se jaċċetta l-proposta li tirriżulta.
Qabbel ukoll l-ambitu waqt li tkun hemm. Konnessjoni fil-maħżen tal-utenti kollha teħtieġ il-parametru korrispondenti tal-utenti kollha, u li teditja l-profil għal kull utent bl-istess isem muri tbiddel oġġett ieħor li l-mina ma tużax.
Imbagħad qabel it-test aġġusta n-naħa strongSwan għall-istess sett. Bidla kkoordinata fuq iż-żewġ trufijiet hija l-unika verżjoni ta’ dan li tikkonverġi; li tbiddel naħa waħda u terġa’ tipprova bla waqfien tipproduċi reġistru mimli bl-istess rifjut.
Ivverifika l-iskambju u t-tiġdid tal-ċwievet separatament
Konnessjoni b’suċċess hija osservazzjoni waħda, u t-tiġdid tal-ċwievet hija oħra. In-negozjar IKE inizjali juża sett wieħed ta’ parametri, u l-assoċjazzjoni tifel li ġġorr it-traffiku tista’ terġa’ tiġi nnegozjata aktar tard bil-politika tagħha. Konfigurazzjoni li tikkonnettja u mbagħad taqa’ wara ftit hija normalment it-tieni każ.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *L-ewwel kmand juri l-veduta tas-server tal-assoċjazzjonijiet stabbiliti, inkluża l-SA tifel u l-ħajja li fadal tagħha. It-tieni juri x’għandu bħalissa l-profil tal-klijent, u dik hija l-unika mod kif tikkonferma li l-politika li stabbilixxejt hija l-politika fis-seħħ.
Osserva tiġdid sħiħ tal-ċwievet qabel ma tiddikjara s-suċċess. Dan ifisser li tħalli l-konnessjoni mtellgħa biżżejjed biex l-assoċjazzjoni tifel tiġi sostitwita, u mbagħad tikkonferma li t-traffiku jkompli. Il-biċċa l-kbira tad-diskrepanzi fil-politika jinħbew f’dak il-pass, għax in-negozjar inizjali jista’ jirnexxi b’sett li t-tiġdid ma jaċċettax.
L-irkupru huwa s-sett preċedenti ta’ parametri, mhux alternattiva permissiva. Jekk il-klijent offra biss grupp antik dgħajjef, it-tweġiba hija li titjieb il-politika komuni tal-klijent u tas-server, mhux li dak il-grupp jiżdied mal-gateway fejn kull pari futur jista’ jinnegozja ’l isfel sa għalih.
Innota l-erba’ parametri, il-grupp, l-ambitu tal-konnessjoni u r-riżultat tat-tiġdid tal-ċwievet. Din hija nota qasira, u hija d-differenza bejn gwida u storja dwar id-darba li l-mina telgħet.