Windows ਅਤੇ strongSwan: IKE ਪ੍ਰਸਤਾਵ ਵਿੱਚ ਚਾਰ ਟ੍ਰਾਂਸਫਾਰਮ ਮਿਲਾਉਣਾ
ਜਦੋਂ ਦੋਵੇਂ ਧਿਰਾਂ ਕੁੰਜੀ-ਅਦਲਾ-ਬਦਲੀ ਸਮੂਹ ਉੱਤੇ ਸਹਿਮਤ ਨਾ ਹੋਣ ਤਾਂ ਸਾਂਝਾ ਸਾਈਫਰ ਕਾਫ਼ੀ ਨਹੀਂ ਹੁੰਦਾ। ਚਾਰੇ ਟ੍ਰਾਂਸਫਾਰਮਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ, ਫਿਰ ਇੱਕ ਸੀਮਿਤ ਪ੍ਰੋਫਾਈਲ ਨੀਤੀ ਲਾਗੂ ਕਰੋ।
ਦੋਵੇਂ ਧਿਰਾਂ AES ਦਾ ਸਮਰਥਨ ਕਰਦੀਆਂ ਹਨ, ਦੋਵੇਂ SHA-256 ਸਵੀਕਾਰ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਫਿਰ ਵੀ ਟਨਲ ਉੱਪਰ ਨਹੀਂ ਆਉਂਦਾ। ਪ੍ਰਸਤਾਵ ਉਸ ਹਿੱਸੇ ਉੱਤੇ ਫੇਲ੍ਹ ਹੋਇਆ ਜਿਸਦੀ ਕਿਸੇ ਨੇ ਤੁਲਨਾ ਨਹੀਂ ਕੀਤੀ ਸੀ, ਆਮ ਤੌਰ ਉੱਤੇ ਕੁੰਜੀ-ਅਦਲਾ-ਬਦਲੀ ਸਮੂਹ। ਇਹ ਗਾਈਡ ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਅਸਲ ਅਦਲਾ-ਬਦਲੀ ਪੜ੍ਹਦੀ ਹੈ, ਇੱਕ ਸੀਮਿਤ ਨੀਤੀ ਲਾਗੂ ਕਰਦੀ ਹੈ ਅਤੇ ਪਿਛਲੇ ਪੈਰਾਮੀਟਰ ਬਹਾਲ ਕਰਨ ਵਾਲਾ ਰੋਲਬੈਕ ਛੱਡਦੀ ਹੈ।
ਸਮੂਹ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਫੇਲ੍ਹਤਾ ਪੜ੍ਹੋ
«ਨੀਤੀ ਮਿਲਾਨ ਗਲਤੀ» ਸਾਰ ਹੈ, ਨਿਦਾਨ ਨਹੀਂ। ਇਸਦਾ ਅਰਥ ਹੈ ਕਿ ਆਪਸੀ ਸਵੀਕਾਰਯੋਗ ਕੋਈ ਪ੍ਰਸਤਾਵ ਨਹੀਂ ਮਿਲਿਆ, ਅਤੇ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਕਿਹੜਾ ਹਿੱਸਾ ਰੱਦ ਹੋਇਆ। ਇਸਨੂੰ ਜਾਂਚ ਦੀ ਸ਼ੁਰੂਆਤ ਮੰਨੋ, ਕਿਸੇ ਖਾਸ ਸਮੂਹ ਬਾਰੇ ਸਬੂਤ ਨਹੀਂ।
ਜਵਾਬ ਆਮ ਤੌਰ ਉੱਤੇ ਸਰਵਰ ਪਾਸੇ ਹੁੰਦਾ ਹੈ। ਢੁੱਕਵੇਂ ਪੱਧਰ ਦਾ strongSwan ਲੌਗ ਕਲਾਇੰਟ ਤੋਂ ਮਿਲਿਆ ਪ੍ਰਸਤਾਵ ਅਤੇ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਸੰਰਚਿਤ ਪ੍ਰਸਤਾਵ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੋਵਾਂ ਸੂਚੀਆਂ ਦਾ ਫ਼ਰਕ ਫੇਲ੍ਹ ਹੋਏ ਹਿੱਸੇ ਦਾ ਨਾਂ ਦੱਸਦਾ ਹੈ।
ਇਹ ਨਾ ਮੰਨੋ ਕਿ ਕਲਾਇੰਟ ਉਹੀ ਦਿੰਦਾ ਹੈ ਜੋ ਕੋਈ ਪੁਰਾਣੀ ਫੋਰਮ ਪੋਸਟ ਕਹਿੰਦੀ ਹੈ। ਸਰਗਰਮ ਪ੍ਰੋਫਾਈਲ ਅਤੇ ਉਸਦੀ ਸਥਾਪਿਤ ਨੀਤੀ ਪੇਸ਼ ਕੀਤੀ ਸੂਚੀ ਤੈਅ ਕਰਦੇ ਹਨ, ਅਤੇ ਅੱਪਡੇਟ ਕੀਤਾ Windows ਬਿਲਡ ਉਸ ਸਕ੍ਰੀਨਸ਼ਾਟ ਨਾਲੋਂ ਵੱਖਰਾ ਸੈੱਟ ਦੇ ਸਕਦਾ ਹੈ ਜਿਸਦੀ ਤੁਸੀਂ ਨਕਲ ਕਰ ਰਹੇ ਹੋ।
ਦੋਵੇਂ ਸੂਚੀਆਂ ਲਿਖ ਲਓ। ਚਾਰ ਟ੍ਰਾਂਸਫਾਰਮ ਥਾਵਾਂ ਅਤੇ ਇੱਕ ਸਮੂਹ ਛੋਟੀ ਸੂਚੀ ਹੈ, ਅਤੇ ਇਸਨੂੰ ਲਾਈਨ-ਦਰ-ਲਾਈਨ ਤੁਲਨਾ ਕਰਨ ਵਿੱਚ ਕਿਸੇ ਵੀ ਪ੍ਰਯੋਗ ਨਾਲੋਂ ਘੱਟ ਸਮਾਂ ਲੱਗਦਾ ਹੈ। ਚਾਰ ਥਾਵਾਂ ਅੱਖਾਂ ਅੱਗੇ ਰੱਖਣਾ ਸੌਖਾ ਹੈ। ਲੌਗ ਫਾਈਲ ਨਹੀਂ।
ਇੱਕ ਜਾਣੇ-ਪਛਾਣੇ ਨਾਂ ਦੀ ਨਹੀਂ, ਹਰੇਕ ਟ੍ਰਾਂਸਫਾਰਮ ਦੀ ਤੁਲਨਾ ਕਰੋ
IKE ਪ੍ਰਸਤਾਵ ਉਹਨਾਂ ਚੋਣਾਂ ਦਾ ਸਮੂਹ ਹੈ ਜੋ ਸਾਰੀਆਂ ਮਿਲਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ। ਇਨਕ੍ਰਿਪਸ਼ਨ ਗੱਲਬਾਤ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ, ਅਖੰਡਤਾ ਜਾਂ ਕੋਈ PRF ਉਸਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ Diffie-Hellman ਸਮੂਹ ਨਵੀਂ ਕੁੰਜੀ ਸਮੱਗਰੀ ਸਥਾਪਿਤ ਕਰਦਾ ਹੈ। ਜੋ ਪ੍ਰਸਤਾਵ ਪਹਿਲੇ ਦੋ ਵਿੱਚ ਮਿਲਦਾ ਹੈ ਅਤੇ ਤੀਜੇ ਵਿੱਚ ਵੱਖਰਾ ਹੈ, ਉਹ ਦੋਵਾਂ ਧਿਰਾਂ ਲਈ ਫਿਰ ਵੀ ਅਸਵੀਕਾਰਯੋਗ ਹੈ।
ਇੱਥੇ ਉਲਝਣ ਵਾਲੇ ਦੋ Windows ਖੇਤਰ ਵੱਖਰੇ ਪੜਾਵਾਂ ਦੇ ਹਨ। DHGroup IKE ਕੁੰਜੀ-ਅਦਲਾ-ਬਦਲੀ ਉੱਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਜਦਕਿ PfsGroup ਟ੍ਰੈਫਿਕ ਦੀ ਰੱਖਿਆ ਕਰਨ ਵਾਲੇ ਚਾਈਲਡ ਐਸੋਸੀਏਸ਼ਨ ਉੱਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ। ਦੂਜਾ ਬਦਲਣ ਨਾਲ ਪਹਿਲੇ ਦੀ ਫੇਲ੍ਹਤਾ ਸੁਧਰ ਨਹੀਂ ਸਕਦੀ।
ਸਮੂਹਾਂ ਦੇ ਨਾਂ ਲਾਗੂਕਰਨਾਂ ਵਿੱਚ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਇਹ ਉਲਝਣ ਦਾ ਵੱਖਰਾ ਸਰੋਤ ਹੈ। strongSwan modp2048 ਅਤੇ ecp256 ਲਿਖਦਾ ਹੈ, ਜਦਕਿ Windows Group14 ਅਤੇ ECP256 ਵਰਗੇ ਗਿਣਤੀ ਨਾਂ ਵਰਤਦਾ ਹੈ, ਇਸ ਲਈ ਤੁਲਨਾ ਤੋਂ ਪਹਿਲਾਂ ਅਨੁਵਾਦ ਕਰਨਾ ਪੈਂਦਾ ਹੈ। ਦੋਵਾਂ ਨਾਵਾਂ ਵਾਲੀ ਦੋ ਕਾਲਮਾਂ ਦੀ ਨੋਟ ਰੱਖੋ। ਫਿਰ ਅਗਲੀ ਅਸੰਗਤੀ ਸਕਿੰਟਾਂ ਵਿੱਚ ਸ਼੍ਰੇਣੀਬੱਧ ਹੋ ਜਾਂਦੀ ਹੈ।
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
ਇੱਕ ਪੂਰੀ ਅਤੇ ਸੀਮਿਤ ਨੀਤੀ ਲਾਗੂ ਕਰੋ
ਮੂਲ IKEv2 ਪ੍ਰੋਫਾਈਲ ਲਈ ਸਮਰਥਿਤ ਸਾਧਨ ਪ੍ਰਤੀ-ਕਨੈਕਸ਼ਨ IPsec ਨੀਤੀ ਹੈ, ਜੋ ਖੇਤਰ-ਦਰ-ਖੇਤਰ ਨਹੀਂ ਬਲਕਿ ਇੱਕ ਆਬਜੈਕਟ ਵਜੋਂ ਸੈੱਟ ਹੁੰਦੀ ਹੈ। ਪਹਿਲਾਂ ਝਲਕ ਵੇਖੋ, ਫਿਰ ਲਾਗੂ ਕਰੋ, ਅਤੇ ਪਿਛਲੇ ਪੈਰਾਮੀਟਰ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਰੱਖੋ।
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf ਸਵਿੱਚ ਸਥਾਨਕ ਤਬਦੀਲੀ ਦੀ ਝਲਕ ਦਿਖਾਉਂਦਾ ਹੈ ਅਤੇ ਕੁਝ ਵੀ ਲਾਗੂ ਨਹੀਂ ਕਰਦਾ। ਇਹ ਲਾਹੇਵੰਦ ਹੈ ਅਤੇ ਨਾਲ ਹੀ ਆਮ ਜਾਲ ਵੀ ਹੈ, ਕਿਉਂਕਿ ਝਲਕ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ ਪੈਰਾਮੀਟਰ ਸਥਾਨਕ cmdlet ਲਈ ਵਾਕ-ਰਚਨਾ ਪੱਖੋਂ ਸਵੀਕਾਰਯੋਗ ਹਨ। ਇਹ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਗੇਟਵੇ ਨਤੀਜਾ ਪ੍ਰਸਤਾਵ ਸਵੀਕਾਰ ਕਰੇਗਾ ਜਾਂ ਨਹੀਂ।
ਉੱਥੇ ਹੀ ਰਹਿੰਦਿਆਂ ਦਾਇਰਾ ਵੀ ਮਿਲਾਓ। ਸਾਰੇ ਵਰਤੋਂਕਾਰਾਂ ਦੇ ਸਟੋਰ ਵਾਲੇ ਕਨੈਕਸ਼ਨ ਨੂੰ ਸੰਬੰਧਿਤ ਸਾਰੇ-ਵਰਤੋਂਕਾਰ ਪੈਰਾਮੀਟਰ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਉਸੇ ਦਿਸਦੇ ਨਾਂ ਨਾਲ ਪ੍ਰਤੀ-ਵਰਤੋਂਕਾਰ ਪ੍ਰੋਫਾਈਲ ਸੋਧਣ ਨਾਲ ਇੱਕ ਹੋਰ ਆਬਜੈਕਟ ਬਦਲਦਾ ਹੈ ਜੋ ਟਨਲ ਵਰਤਦਾ ਨਹੀਂ।
ਫਿਰ ਟੈਸਟ ਤੋਂ ਪਹਿਲਾਂ strongSwan ਪਾਸੇ ਨੂੰ ਵੀ ਉਸੇ ਸੈੱਟ ਉੱਤੇ ਲਿਆਓ। ਦੋਵੇਂ ਸਿਰਿਆਂ ਉੱਤੇ ਤਾਲਮੇਲ ਵਾਲੀ ਤਬਦੀਲੀ ਹੀ ਇਸਦਾ ਇੱਕੋ ਸੰਸਕਰਣ ਹੈ ਜੋ ਇਕੱਠਾ ਹੁੰਦਾ ਹੈ; ਇੱਕ ਪਾਸਾ ਬਦਲ ਕੇ ਵਾਰ-ਵਾਰ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਨਾਲ ਉਸੇ ਇਨਕਾਰ ਨਾਲ ਭਰਿਆ ਲੌਗ ਬਣਦਾ ਹੈ।
ਅਦਲਾ-ਬਦਲੀ ਅਤੇ ਕੁੰਜੀ-ਨਵੀਨੀਕਰਨ ਵੱਖਰੇ ਤੌਰ ਉੱਤੇ ਜਾਂਚੋ
ਸਫਲ ਕਨੈਕਸ਼ਨ ਇੱਕ ਨਿਰੀਖਣ ਹੈ, ਅਤੇ ਕੁੰਜੀ-ਨਵੀਨੀਕਰਨ ਦੂਜਾ। ਸ਼ੁਰੂਆਤੀ IKE ਗੱਲਬਾਤ ਇੱਕ ਪੈਰਾਮੀਟਰ ਸੈੱਟ ਵਰਤਦੀ ਹੈ, ਅਤੇ ਟ੍ਰੈਫਿਕ ਢੋਣ ਵਾਲਾ ਚਾਈਲਡ ਐਸੋਸੀਏਸ਼ਨ ਬਾਅਦ ਵਿੱਚ ਆਪਣੀ ਨੀਤੀ ਨਾਲ ਦੁਬਾਰਾ ਗੱਲਬਾਤ ਕਰ ਸਕਦਾ ਹੈ। ਜੋ ਸੈੱਟਅੱਪ ਜੁੜ ਕੇ ਥੋੜ੍ਹੀ ਦੇਰ ਬਾਅਦ ਡਿੱਗ ਜਾਂਦਾ ਹੈ, ਉਹ ਆਮ ਤੌਰ ਉੱਤੇ ਦੂਜਾ ਮਾਮਲਾ ਹੁੰਦਾ ਹੈ।
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *ਪਹਿਲਾ ਕਮਾਂਡ ਸਥਾਪਿਤ ਐਸੋਸੀਏਸ਼ਨਾਂ ਬਾਰੇ ਸਰਵਰ ਦਾ ਨਜ਼ਰੀਆ ਦਿਖਾਉਂਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਚਾਈਲਡ SA ਅਤੇ ਉਸਦੀ ਬਚੀ ਉਮਰ ਸ਼ਾਮਲ ਹੈ। ਦੂਜਾ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਹੁਣ ਕੀ ਹੈ, ਅਤੇ ਤੁਸੀਂ ਸੈੱਟ ਕੀਤੀ ਨੀਤੀ ਹੀ ਪ੍ਰਭਾਵੀ ਨੀਤੀ ਹੈ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਦਾ ਇੱਕੋ ਢੰਗ ਇਹੀ ਹੈ।
ਸਫਲਤਾ ਦਾ ਐਲਾਨ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੂਰਾ ਕੁੰਜੀ-ਨਵੀਨੀਕਰਨ ਵੇਖੋ। ਇਸਦਾ ਅਰਥ ਹੈ ਚਾਈਲਡ ਐਸੋਸੀਏਸ਼ਨ ਬਦਲਣ ਜਿੰਨੀ ਦੇਰ ਕਨੈਕਸ਼ਨ ਉੱਪਰ ਰੱਖਣਾ ਅਤੇ ਫਿਰ ਪੁਸ਼ਟੀ ਕਰਨਾ ਕਿ ਟ੍ਰੈਫਿਕ ਜਾਰੀ ਹੈ। ਬਹੁਤੀਆਂ ਨੀਤੀ-ਅਸੰਗਤੀਆਂ ਉਸੇ ਕਦਮ ਵਿੱਚ ਲੁਕੀਆਂ ਹੁੰਦੀਆਂ ਹਨ, ਕਿਉਂਕਿ ਸ਼ੁਰੂਆਤੀ ਗੱਲਬਾਤ ਨਵੀਨੀਕਰਨ ਵੱਲੋਂ ਨਾ-ਸਵੀਕਾਰੇ ਸੈੱਟ ਨਾਲ ਵੀ ਸਫਲ ਹੋ ਸਕਦੀ ਹੈ।
ਰੋਲਬੈਕ ਪਿਛਲਾ ਪੈਰਾਮੀਟਰ ਸੈੱਟ ਹੈ, ਕੋਈ ਢਿੱਲਾ ਵਿਕਲਪ ਨਹੀਂ। ਜੇ ਕਲਾਇੰਟ ਨੇ ਸਿਰਫ਼ ਕਮਜ਼ੋਰ ਪੁਰਾਣਾ ਸਮੂਹ ਦਿੱਤਾ ਸੀ, ਤਾਂ ਜਵਾਬ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਦੀ ਸਾਂਝੀ ਨੀਤੀ ਸੁਧਾਰਨਾ ਹੈ, ਉਸ ਸਮੂਹ ਨੂੰ ਗੇਟਵੇ ਵਿੱਚ ਜੋੜਨਾ ਨਹੀਂ ਜਿੱਥੇ ਭਵਿੱਖ ਦੀ ਹਰ ਧਿਰ ਉਸ ਵੱਲ ਹੇਠਾਂ ਗੱਲਬਾਤ ਕਰ ਸਕੇ।
ਚਾਰ ਪੈਰਾਮੀਟਰ, ਸਮੂਹ, ਕਨੈਕਸ਼ਨ ਦਾ ਦਾਇਰਾ ਅਤੇ ਕੁੰਜੀ-ਨਵੀਨੀਕਰਨ ਦਾ ਨਤੀਜਾ ਦਰਜ ਕਰੋ। ਇਹ ਛੋਟੀ ਨੋਟ ਹੈ, ਅਤੇ ਗਾਈਡ ਅਤੇ ਟਨਲ ਦੇ ਇੱਕ ਵਾਰ ਉੱਪਰ ਆਉਣ ਦੀ ਕਹਾਣੀ ਵਿਚਕਾਰਲਾ ਫ਼ਰਕ ਇਹੀ ਹੈ।