Windows او strongSwan: د IKE په وړاندیز کې څلورو بدلونونو سمون
کله چې دواړه خواوې د کلي د تبادلې ګروپ په اړه سره نه یوځای شي، یو ګډ سایفر بس نه دی۔ څلور بدلونونه ټول پرتله کړئ، بیا یوه محدوده پروفایل تګلاره پلي کړئ۔
دواړه خواوې AES ته ملاتړ کوي، دواړه SHA-256 مني، او تونل بیا هم نه پورته کیږي۔ وړاندیز په هغه برخه کې ناکام شو چې چا پرتله نه وه کړې، معمولاً د کلي د تبادلې ګروپ۔ دا لارښود د هر څه د بدلولو دمخه ریښتینې تبادله لولي، یوه محدوده تګلاره پلي کوي او د پخوانیو پارامیټرونو د بیا رغولو لپاره یو بېرته تګ پریږدي۔
د ګروپ د بدلولو دمخه ناکامي ولولئ
«د تګلارې د سمون تېروتنه» یوه لنډیز دی، تشخیص نه دی۔ مانا یې دا ده چې د دواړو خواوو لپاره منل شوی وړاندیز ونه موندل شو، او د دې په اړه څه نه وایي چې کومه برخه رد شوه۔ دا د پلټنې پیل وګڼئ، نه د یو ځانګړي ګروپ په اړه ثبوت۔
ځواب معمولاً د سرور په خوا کې وي۔ په مناسبه کچه د strongSwan لاګ هغه وړاندیز لیست کوي چې له کلاینټ څخه یې ترلاسه کړ او هغه وړاندیز چې د منلو لپاره تنظیم شوی، او د دواړو لیستونو توپیر د ناکامې برخې نوم اخلي۔
دا مه انګیرئ چې کلاینټ هغه څه وړاندې کوي چې یو زوړ فورم پوسټ یې وایي۔ فعال پروفایل او په هغه کې نصب شوې تګلاره وړاندې شوی لیست ټاکي، او تازه شوی Windows جوړښت کېدای شي هغه له سیټ څخه بدل سیټ وړاندې کړي چې تاسو ترې کاپي کوئ۔
دواړه لیستونه ولیکئ۔ څلور بدلون ځایونه او یو ګروپ لنډ لیست دی، او کرښه په کرښه یې پرتله کول له هرې تجربې څخه لږ وخت نیسي۔ څلور ځایونه په سترګو کې ساتل اسانه دي۔ د لاګ فایل نه۔
هر بدلون پرتله کړئ، نه یو پیژندل شوی نوم
د IKE وړاندیز د ټاکلو ټولګه ده چې ټول باید سره سمون ولري۔ کوډ کول خبرې اترې ساتي، بشپړتیا یا PRF یې تصدیق کوي، او Diffie-Hellman ګروپ نوی کلي مواد جوړوي۔ هغه وړاندیز چې په لومړیو دوه کې سمون لري او په دریم کې توپیر لري، د دواړو خواوو لپاره بیا هم د منلو وړ نه دی۔
هغه دوه Windows ساحې چې دلته ګډېږي بېلابېلو پړاوونو پورې اړه لري۔ DHGroup د IKE کلي تبادلې ته اړه لري، پداسې حال کې چې PfsGroup هغه ماشوم ټولګي ته اړه لري چې ترافیک ساتي۔ د دویم بدلول په لومړي کې ناکامي نه شي سمولای۔
د ګروپونو نومونه د تطبیقونو ترمنځ توپیر لري، او دا د ګډوډۍ جلا سرچینه ده۔ strongSwan modp2048 او ecp256 لیکي، پداسې حال کې چې Windows د Group14 او ECP256 په څیر د شمېرنې نومونه کاروي، نو پرتله باید دمخه ژباړه وکړي۔ د دواړو نومونو سره دوه ستونزه یادښت وساتئ۔ بیا به راتلونکی ناسمون په ثانیو کې ډلبندي شي۔
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
یوه بشپړه او محدوده تګلاره پلي کړئ
د اصلي IKEv2 پروفایل لپاره ملاتړ شوی وسیله د هرې اړیکې IPsec تګلاره ده، چې د یوې ساحې په توګه ټاکل کیږي نه د ساحې په ساحې۔ لومړی یې وګورئ، بیا یې پلي کړئ، او پخواني پارامیټرونه د بدلون په ریکارډ کې وساتئ۔
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIfد -WhatIf سویچ محلي بدلون ښیي او هېڅ نه پلي کوي۔ دا ګټور دی او په همدې وخت کې یو عامه تله ده، ځکه چې مخکتنه یوازې دا ثابتوي چې پارامیټرونه د محلي cmdlet لپاره په نحوي توګه د منلو وړ دي۔ دا هېڅ نه وایي چې ګېټوې به پایله وړاندیز ومني که نه۔
همدلته پاتې کېدلو سره ساحه هم سمه کړئ۔ د ټولو کاروونکو په زېرمه کې اړیکه اړونده د ټولو کاروونکو پارامیټر ته اړتیا لري، او د هماغه ښودل شوي نوم سره د هر کاروونکي پروفایل سمول بل شی بدلوي چې تونل یې نه کاروي۔
بیا د ازموینې دمخه strongSwan خوا هم هماغه سیټ ته راوړئ۔ په دواړو سرونو کې همغږی بدلون یوازینی هغه بڼه ده چې یوځای کیږي؛ یوه خوا بدلول او بیا بیا هڅه کول هماغه ردونې څخه ډک لاګ جوړوي۔
تبادله او د کلي تازه کول جلا جلا وګورئ
بریالۍ اړیکه یوه کتنه ده، او د کلي تازه کول بله۔ لومړنۍ IKE خبرې اترې یوه پارامیټر ټولګه کاروي، او هغه ماشوم ټولګی چې ترافیک وړي کېدای شي وروسته د خپلې تګلارې سره بیا خبرې وکړي۔ هغه تنظیم چې نښلوي او بیا لږ وخت وروسته لوېږي، معمولاً دویمه پېښه ده۔
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *لومړی امر د جوړ شوو ټولګو په اړه د سرور لید ښیي، په شمول د ماشوم SA او د هغه پاتې عمر۔ دویم ښیي چې کلاینټ پروفایل اوس څه لري، او دا یوازینی لار ده چې تایید کړئ هغه تګلاره چې تاسو ټاکلې وه هغه تګلاره ده چې پلي کیږي۔
د بریا اعلان دمخه بشپړ د کلي تازه کول وګورئ۔ دا مانا دا ده چې اړیکه دومره اوږده پورته وساتئ چې ماشوم ټولګی بدل شي، او بیا تایید کړئ چې ترافیک دوام لري۔ ډېری د تګلارې ناسمون په همدې ګام کې پټ وي، ځکه چې لومړنۍ خبرې اترې کېدای شي د هغه سیټ سره بریالۍ شي چې تازه کول یې نه مني۔
بېرته تګ پخوانی پارامیټر سیټ دی، نه یو اسانه بدیل۔ که کلاینټ یوازې یو کمزوری زوړ ګروپ وړاندې کړی وي، ځواب د کلاینټ او سرور ګډه تګلاره ښه کول دي، نه هغه ګروپ ګېټوې ته زیاتول چې هر راتلونکی لوری کولای شي تر هغه ښکته خبرې وکړي۔
څلور پارامیټرونه، ګروپ، د اړیکې ساحه او د کلي د تازه کولو پایله ثبت کړئ۔ دا لنډ یادښت دی، او همدا د لارښود او د هغې کیسې ترمنځ توپیر دی چې تونل یوځل پورته شو۔