Windows සහ strongSwan: IKE යෝජනාවක කේතක හතර ගැලපීම
යතුරු හුවමාරු කණ්ඩායම ගැන දෙපිරිස එකඟ නොවන විට පොදු සයිෆරයක් ප්‍රමාණවත් නොවේ. කේතක හතරම සසඳා, පසුව එක් සීමිත පැතිකඩ ප්‍රතිපත්තියක් යොදන්න.
දෙපිරිසම AES සමර්ථ කරයි, දෙදෙනාම SHA-256 පිළිගනී, නමුත් උමඟ තවමත් ඉහළ එන්නේ නැත. යෝජනාව කිසිවෙකු සසඳා නොබැලූ සංරචකයක අසාර්ථක විය, සාමාන්‍යයෙන් යතුරු හුවමාරු කණ්ඩායමේ. මෙම මාර්ගෝපදේශය කිසිවක් වෙනස් කිරීමට පෙර සැබෑ හුවමාරුව කියවයි, එක් සීමිත ප්‍රතිපත්තියක් යොදයි සහ පෙර පරාමිතීන් නැවත පිහිටුවන ආපසු හැරවීමක් ඉතිරි කරයි.
කණ්ඩායමක් වෙනස් කිරීමට පෙර අසාර්ථකත්වය කියවන්න
«ප්‍රතිපත්ති ගැලපීම් දෝෂය» යනු සාරාංශයකි, රෝග විනිශ්චයක් නොවේ. එයින් අදහස් වන්නේ අන්‍යෝන්‍ය පිළිගත හැකි යෝජනාවක් නොමැති බවයි, සහ කුමන සංරචකය ප්‍රතික්ෂේප විය ද යන්න ගැන කිසිවක් නොකියයි. එය විමර්ශනයේ ආරම්භය ලෙස සලකන්න, නිශ්චිත කණ්ඩායමක් පිළිබඳ සාක්ෂියක් ලෙස නොවේ.
පිළිතුර සාමාන්‍යයෙන් සේවාදායක පැත්තේ ඇත. සුදුසු මට්ටමේ strongSwan ලොගය සේවාලාභියාගෙන් ලද යෝජනාව සහ පිළිගැනීමට වින්‍යාස කර ඇති යෝජනාව ලැයිස්තුගත කරයි, සහ ලැයිස්තු දෙකේ වෙනස අසාර්ථක වූ සංරචකය නම් කරයි.
පැරණි සංසද පළ කිරීමක් පවසන දෙය සේවාලාභියා ලබා දෙන බව උපකල්පනය නොකරන්න. ක්‍රියාකාරී පැතිකඩ සහ එහි ස්ථාපිත ප්‍රතිපත්තිය ලබා දෙන ලැයිස්තුව තීරණය කරයි, සහ යාවත්කාලීන කළ Windows ගොඩනැගීම ඔබ පිටපත් කරන තිර රුවෙහි ඇති එකට වඩා වෙනස් කට්ටලයක් ලබා දිය හැක.
ලැයිස්තු දෙකම ලියා තබන්න. කේතක ස්ථාන හතරක් සහ කණ්ඩායමක් කෙටි ලැයිස්තුවකි, සහ එය පේළියෙන් පේළිය සසඳා බැලීමට ඕනෑම පරීක්ෂණයකට වඩා අඩු කාලයක් ගත වේ. ස්ථාන හතරක් ඇස ඉදිරිපිට තබා ගැනීම පහසුය. ලොග ගොනුවක් නොවේ.
එක් හුරු නාමයක් නොව, සෑම කේතකයක්ම සසඳා බලන්න
IKE යෝජනාවක් යනු සියල්ලම ගැලපිය යුතු තේරීම් සමූහයකි. සංකේතනය සාකච්ඡාව ආරක්ෂා කරයි, අඛණ්ඩතාව හෝ PRF එකක් එය සත්‍යාපනය කරයි, සහ Diffie-Hellman කණ්ඩායමක් නව යතුරු ද්‍රව්‍ය ස්ථාපිත කරයි. පළමු දෙකේ ගැලපී තෙවැන්නේ වෙනස් වන යෝජනාවක් දෙපිරිසටම තවමත් පිළිගත නොහැක.
මෙහි ව්‍යාකූල වන Windows ක්ෂේත්‍ර දෙක විවිධ අවස්ථාවලට අයත් වේ. DHGroup IKE යතුරු හුවමාරුවට අදාළ වේ, PfsGroup රථවාහන ආරක්ෂා කරන දරු සංගමයට අදාළ වේ. දෙවැන්න වෙනස් කිරීමෙන් පළමුවැන්නේ අසාර්ථකත්වය සුව කළ නොහැක.
කණ්ඩායම් නාම ක්‍රියාත්මක කිරීම් අතර වෙනස් වේ, සහ එය ව්‍යාකූලතාවයේ වෙනම මූලාශ්‍රයකි. strongSwan modp2048 සහ ecp256 ලියයි, Windows Group14 සහ ECP256 වැනි ගණන් නාම භාවිතා කරයි, එබැවින් සංසන්දනය කිරීමට පෙර පරිවර්තනය කළ යුතුය. නාම දෙකම සහිත තීරු දෙකක සටහනක් තබා ගන්න. එවිට ඊළඟ නොගැලපීම තත්පර කිහිපයකින් වර්ගීකරණය වේ.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
සම්පූර්ණ හා සීමිත ප්‍රතිපත්තියක් යොදන්න
දේශීය IKEv2 පැතිකඩක් සඳහා සහාය දක්වන මෙවලම වන්නේ සම්බන්ධතාවයකට IPsec ප්‍රතිපත්තියකි, එය ක්ෂේත්‍රයෙන් ක්ෂේත්‍රයට නොව එක් වස්තුවක් ලෙස සකසයි. පළමුව පෙරදසුන් කරන්න, පසුව යොදන්න, සහ පෙර පරාමිතීන් වෙනස්කම් වාර්තාවේ තබා ගන්න.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf ස්විචය දේශීය වෙනස්කම් පෙරදසුන් කරයි, කිසිවක් යොදන්නේ නැත. එය ප්‍රයෝජනවත් වන අතර එකම අවස්ථාවේ පොදු උගුලක් ද වේ, මන්ද පෙරදසුනක් ඔප්පු කරන්නේ පරාමිතීන් දේශීය cmdlet සඳහා ව්‍යාකරණමය වශයෙන් පිළිගත හැකි බව පමණි. ගේට්වේ ප්‍රතිඵලය වන යෝජනාව පිළිගනීද යන්න එය නොකියයි.
එහි සිටින අතරම විෂය පථය ද ගැලපෙන්න. සියලුම පරිශීලකයින්ගේ ගබඩාවේ ඇති සම්බන්ධතාවයට අදාළ සියලු-පරිශීලක පරාමිතිය අවශ්‍ය වේ, සහ එම දර්ශන නාමය සහිත පරිශීලකයාට වන පැතිකඩ සංස්කරණය කිරීම උමඟ භාවිතා නොකරන වෙනත් වස්තුවක් වෙනස් කරයි.
පසුව පරීක්ෂාවට පෙර strongSwan පැත්ත එම කට්ටලයට ගෙන එන්න. දෙකෙළවරේ සම්බන්ධීකෘත වෙනස්කමක් පමණක් අභිසාරී වන එකම සංස්කරණයයි; එක් පැත්තක් වෙනස් කර නැවත නැවත උත්සාහ කිරීම එම ප්‍රතික්ෂේපයෙන් පිරුණු ලොගයක් ලබා දෙයි.
හුවමාරුව සහ යතුරු අලුත් කිරීම වෙන වෙනම සත්‍යාපනය කරන්න
සාර්ථක සම්බන්ධතාවයක් එක් නිරීක්ෂණයකි, යතුරු අලුත් කිරීම තවත් එකකි. ආරම්භක IKE සාකච්ඡාව එක් පරාමිති කට්ටලයක් භාවිතා කරයි, සහ රථවාහන දරන දරු සංගමය පසුව තමන්ගේම ප්‍රතිපත්තියකින් නැවත සාකච්ඡා කළ හැක. සම්බන්ධ වී ටික වේලාවකින් වැටෙන සැකසුම සාමාන්‍යයෙන් දෙවන අවස්ථාවයි.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *පළමු විධානය ස්ථාපිත සංගම් පිළිබඳ සේවාදායකයාගේ දර්ශනය පෙන්වයි, දරු SA සහ එහි ඉතිරි ආයුෂ ඇතුළුව. දෙවැන්න පෙන්වන්නේ සේවාලාභී පැතිකඩ දැන් තබා ඇති දේය, සහ ඔබ සකසා ඇති ප්‍රතිපත්තියම බලපවත්වන ප්‍රතිපත්තිය බව තහවුරු කිරීමට ඇති එකම මාර්ගය එයයි.
සාර්ථකත්වය ප්‍රකාශ කිරීමට පෙර සම්පූර්ණ යතුරු අලුත් කිරීමක් නිරීක්ෂණය කරන්න. එහි අර්ථය දරු සංගමය ප්‍රතිස්ථාපනය වන තරම් කාලයක් සම්බන්ධතාවය ඉහළ තබා, පසුව රථවාහන දිගටම පවතින බව තහවුරු කිරීමයි. බොහෝ ප්‍රතිපත්ති නොගැලපීම් එම පියවරේ සැඟවී ඇත, මන්ද ආරම්භක සාකච්ඡාව අලුත් කිරීම පිළිනොගන්නා කට්ටලයකින් ද සාර්ථක විය හැක.
ආපසු හැරවීම යනු පෙර පරාමිති කට්ටලයයි, ලිහිල් විකල්පයක් නොවේ. සේවාලාභියා දුර්වල පැරණි කණ්ඩායමක් පමණක් ඉදිරිපත් කළේ නම්, පිළිතුර වන්නේ සේවාලාභියාගේ සහ සේවාදායකයාගේ පොදු ප්‍රතිපත්තිය වැඩිදියුණු කිරීමයි, එම කණ්ඩායම ගේට්වේ වෙත එකතු කිරීම නොවේ, එහිදී අනාගත සෑම පාර්ශවයකටම එය දක්වා පහළට සාකච්ඡා කළ හැක.
පරාමිති හතර, කණ්ඩායම, සම්බන්ධතාවයේ විෂය පථය සහ යතුරු අලුත් කිරීමේ ප්‍රතිඵලය සටහන් කරන්න. එය කෙටි සටහනකි, සහ මාර්ගෝපදේශයක් සහ උමඟ එක් වරක් ඉහළ ආ කතාව අතර වෙනස එයයි.