د Windows او strongSwan سایفرونه: سمه طبقه سره سمون کړئ

دواړه خواوې AES-128 وایي او تونل بیا هم د جوړېدو څخه انکار کوي۔ CBC او GCM بېل بدلونونه دي چې په ناڅاپي ډول ورته د کیلي اوږدوالي شریکوي، او هغه پیرودونکی چې یو وړاندې کوي د هغه دروازې اړتیاوې نه پوره کوي چې یوازې بل مني۔ AES ټکی یوه کورنۍ بیانوي، نه یوه هوکړه۔

دوهم محور هم شته، او همغه ګډوډونکي تېروتنې رامنځته کوي۔

دوه طبقې، دوه خپلواکې لښتې

IKE پخپله خبرې اترې ساتي، پداسې حال کې چې ماشوم اړیکه هغه ټرافیک ساتي چې تاسو واقعاً ورته پام لرئ۔ Windows لومړی د کوډ کولو میتود او د بشپړتیا میتود په توګه، او دوهم د سایفر او تصدیق بدلون ثابتو په توګه ښیي۔ هغه ساحې د یو بل مترادف نومونه نه دي، او هغه ارزښت چې په یوه کې سم دی په بل کې بې معنا یا غلط کېدای شي۔ پروفایل د دې وېش سره په یاد لوستل ډېره ګډوډي لرې کوي۔

عملي نتیجه دا ده چې تاسو کولای شئ بشپړ منل کېدونکې د کیلي تبادلې پالیسي او د معلوماتو کانال پالیسي ولرئ چې سیال به یې ونه مني۔ یوه لښته خبرې کوي؛ بله بستې ساتي۔ په لومړي کې د ارزښت بدلول په دوهم کې هېڅ اغېزه نه لري، که څه هم دواړه په تنظیماتو ډیالوګ کې څومره ورته ښکاري۔

د دروازې سره د پرتله کولو دمخه دواړه لښتې ولیکئ۔ له یاد څخه پرتله کول هغه لاره ده چې یوه ساحه دوه ځله سمول کېږي او بله هېڅکله نه۔ د پروفایل ترڅنګ د دروازې کنسول پرانیستی وساتئ۔

تېروتنه د وړاندیزونو ترڅنګ ولولئ

هغه پړاو چې ناکام شو تاسو ته وایي کومه لښته وګورئ۔ د لومړني کیلي تبادلې په جریان کې انکار د IKE وړاندیز ستونزه ده، او دا د هرې ماشوم اړیکې له شتون دمخه پېښیږي۔ د ساتل شوي ټرافیک اړیکې په خبرو اترو کې ناکامي د ESP وړاندیز ستونزه ده، او کیلي تبادله لا دمخه بریالۍ شوې ده۔ د پیرودونکي عمومي پالیسي سمون پیغام د دواړو پړاوونو له نامه نه اخلي، نو ځکه د دروازې خپل لید ګټور دی۔

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

ترلاسه شوی وړاندیز، تنظیم شوی وړاندیز او ټاکل شوی وړاندیز پرتله کړئ د هماغه یوې هڅې لپاره۔ دلته درې بېلې لښتې مهمې دي، او یوازې وروستنۍ هغه څه بیانوي چې واقعاً کارول شوي۔ په ټکټ کې یې د لنډیز کولو پرځای کلمه په کلمه نقل کړئ۔

CBC او GCM د جلا بدیلونو په توګه وساتئ

هغه دروازه چې په قصداً یې د هرې کورنۍ منلو اجازه لري دوه وړاندیزونو ته اړتیا لري، نه یو۔ په strongSwan کې کامه بدیلونه جلا کوي، او هایفن د یوې ټولګې برخې یوځای کوي۔ دواړه کورنۍ د هایفنونو سره یوځای کول د دوو منل کېدونکو وړاندیزونو پرځای یو ناشونی وړاندیز رامنځته کوي۔

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

لومړی بدیل تصدیق شوی کوډ کول لري او بیا هم یو څه ناڅاپي فعالیت نوموي، ځکه چې د کیلي استخراج حتی کله چې بشپړتیا له سایفر څخه راشي یو ته اړتیا لري۔ دوهم بدیل د جلا بشپړتیا الګوریتم سره کلاسیک کوډ کول دي۔ دواړه بیا هم د هغه څه تابع دي چې بار شوی کریپټو پلي کول یې ملاتړ کوي۔

ESP وړاندیز بیا نومول شوی IKE وړاندیز نه دی

د سایفر ټوکن په دواړو لښتو کې ورته ښکاري، او نږدې بل هېڅ شی نه انتقالیږي۔ ESP وړاندیز د کیلي تبادلې لپاره کوم ناڅاپي فعالیت نه لري، او د هغې بشپړتیا او مخته پټوالي غوښتنې د بل اړخ Windows پالیسي پروړاندې دلیل کیږي نه دا چې د IKE کرښې څخه کاپي شي۔ یوه لښته بلې ته په میخانیکي ډول ژباړل داسې څه جوړوي چې اعتبار اخلي او هېڅکله خبرې نه کوي۔

یو لوری وټاکئ او په هغه کې پاتې شئ۔ یا دروازه یوازې GCM پالیسي ساتي او پیرودونکی بشپړ سازګار پالیسي ځای پرځای کوي، یا دروازه دواړه کورنۍ مني او پیرودونکی خپله اوسنۍ ټولګه ساتي۔ هغه بیرته راګرځېدنه چې امنیتي پالیسي یې منع کوي فعالول حل نه دی، که څه هم تېروتنه څومره ژر پاکوي۔

دواړه ټولګې تصدیق کړئ، بیا د کیلي نوي کول

ټاکل شوې د کیلي تبادلې ټولګه او ټاکل شوې ټرافیک ټولګه جلا تایید کړئ، ځکه چې دوی له بېلو لښتو څخه راځي او کولای شي په خپلواک ډول بریالي شي۔ بیا پرېږدئ چې د کیلي نوي کول پېښ شي او هغه هم تایید کړئ۔ کار کوونکی لومړی لاس ورکول او ناکامه د کیلي نوي کول د وړاندیزونو هغه ټولګه بیانوي چې یوازې تر یوې کچې منل کېدونکې ده۔

هغه شواهد د بدلون سره یوځای وساتئ۔ تکراري اړیکه پرې کېدل مخکې له دې چې څوک ټایمر یا د پلیټ فارم نیمګړتیا ملامت کړي خپل ناکام تبادلې ریکارډ ته اړتیا لري۔