Windows in strongSwan: uskladitev štirih transformacij v predlogu IKE

Obe strani podpirata AES, obe sprejmeta SHA-256, tunel pa se vseeno ne dvigne. Predlog je spodletel na komponenti, ki je nihče ni primerjal, običajno na skupini za izmenjavo ključev. Ta vodnik prebere dejansko izmenjavo, preden se karkoli spremeni, uporabi eno omejeno politiko in pusti razveljavitev, ki obnovi prejšnje parametre.

Preberite neuspeh, preden spremenite skupino

«Napaka ujemanja politike« je povzetek, ne diagnoza. Pomeni, da ni bil najden noben vzajemno sprejemljiv predlog, in ne pove ničesar o tem, katera komponenta je bila zavrnjena. Obravnavajte jo kot začetek preiskave in ne kot dokaz o določeni skupini.

Odgovor je običajno na strani strežnika. Dnevnik strongSwan na ustrezni ravni navaja predlog, prejet od odjemalca, in predlog, ki je nastavljen za sprejem, razlika med obema seznamoma pa poimenuje komponento, ki je spodletela.

Ne predpostavljajte, da odjemalec ponuja tisto, kar trdi starejša objava na forumu. Aktivni profil in njegova nameščena politika določata ponujeni seznam, posodobljena različica Windows pa lahko ponudi drugačen nabor od tistega na posnetku zaslona, s katerega kopirate.

Zapišite oba seznama. Štiri pozicije transformacij in ena skupina so kratek seznam, primerjava vrstico za vrstico pa vzame manj časa kot kateri koli poskus. Štiri pozicije je lahko obdržati v vidnem polju. Dnevniške datoteke ne.

Primerjajte vsako transformacijo, ne enega znanega imena

Predlog IKE je nabor izbir, ki se morajo vse ujemati. Šifriranje ščiti pogajanja, celovitost ali PRF jih overja, skupina Diffie-Hellman pa ustvari svež ključni material. Predlog, ki se ujema pri prvih dveh in se razlikuje pri tretji, je za obe strani še vedno nesprejemljiv.

Dve polji Windows, ki se tu zamenjujeta, spadata v različni fazi. DHGroup velja za izmenjavo ključev IKE, PfsGroup pa za podrejeno povezavo, ki ščiti promet. Sprememba drugega ne more popraviti neuspeha v prvem.

Imena skupin se med izvedbami razlikujejo in to je ločen vir zmede. strongSwan piše modp2048 in ecp256, medtem ko Windows uporablja imena naštevanja, kot sta Group14 in ECP256, zato mora primerjava najprej prevesti. Vodite zapisek v dveh stolpcih z obema imenoma. Naslednje neskladje se nato razvrsti v nekaj sekundah.

Uporabite eno popolno in omejeno politiko

Podprto orodje za izvorni profil IKEv2 je politika IPsec za posamezno povezavo, nastavljena kot en objekt in ne polje za poljem. Najprej si jo oglejte v predogledu, nato jo uporabite in prejšnje parametre ohranite v zapisu spremembe.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Stikalo -WhatIf prikaže lokalno spremembo v predogledu in ne uporabi ničesar. To je koristno in hkrati pogosta past, ker predogled dokaže le, da so parametri skladenjsko sprejemljivi za lokalni cmdlet. Ne pove ničesar o tem, ali bo prehod sprejel nastali predlog.

Hkrati uskladite tudi obseg. Povezava v shrambi za vse uporabnike potrebuje ustrezen parameter za vse uporabnike, urejanje profila za posameznega uporabnika z istim prikazanim imenom pa spremeni drug objekt, ki ga tunel ne uporablja.

Nato pred preskušanjem uskladite stran strongSwan na isti nabor. Usklajena sprememba na obeh koncih je edina različica, ki konvergira; spreminjanje ene strani in ponovni poskusi dajo dnevnik, poln istih zavrnitev.

Preverite izmenjavo in obnovitev ključev ločeno

Uspešna povezava je eno opažanje, obnovitev ključev pa drugo. Začetno pogajanje IKE uporablja en nabor parametrov, podrejena povezava, ki prenaša promet, pa se lahko pozneje znova pogaja z lastno politiko. Nastavitev, ki se poveže in nato po nekem času pade, je običajno drugi primer.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Prvi ukaz pokaže pogled strežnika na vzpostavljene povezave, vključno s podrejeno SA in njeno preostalo življenjsko dobo. Drugi pokaže, kaj ima zdaj profil odjemalca, in to je edini način, da potrdite, da je nastavljena politika politika, ki velja.

Opazujte popolno obnovitev ključev, preden razglasite uspeh. To pomeni pustiti povezavo dovolj dolgo dvignjeno, da se podrejena povezava zamenja, in nato potrditi, da promet teče naprej. Večina neskladij politik se skriva prav v tem koraku, ker lahko začetno pogajanje uspe z naborom, ki ga obnovitev ne sprejme.

Razveljavitev je prejšnji nabor parametrov, ne popustljiva rezerva. Če je odjemalec ponudil le šibko staro skupino, je odgovor izboljšati skupno politiko odjemalca in strežnika, ne pa dodati te skupine na prehod, kjer se lahko vsaka prihodnja stran pogaja navzdol do nje.

Zapišite štiri parametre, skupino, obseg povezave in izid obnovitve ključev. To je kratek zapisek in prav on je razlika med vodnikom in zgodbo o tem, kako je nekoč tunel vstal.