IKEv2 NO_PROPOSAL_CHOSEN: marxaladdee ayaa diiday xirmada?

NO_PROPOSAL_CHOSEN oo ku jira log ayaa dadka u diraa furaha hore loo wadaagay, khaladkuna wuu sii jiraa beddelka ka dib. Marnaba ma ahayn dhibaato aqoonsi: lammaanuhu wuu diiday soo jeedin kasta oo loo soo bandhigay isweydaarsigaas, taas oo ah hadal ku saabsan algorithms halkii aqoonsi. Su'aasha ugu horeysa ee faa'iido leh ma aha algorithmka la tafatiranayo, laakiin waa isweydaarsiga la diiday. Ka jawaab taas ka hor intaadan wax isbarbar dhigin. Kadib isbarbar dhig xirmada buuxda ee la soo jeediyay iyo xirmada buuxda ee lammaanuhu oggol yahay.

Marka hore: isweydaarsigee ayaa la diiday

IKEv2 waxay ka wada hadashaa laba nooc oo urur ah. IKE SA waxay ilaalisaa wada hadalka laftiisa, CHILD SA-na waxay ilaalisaa taraafikada. Mid kastaa waxay leedahay xirmo soo jeedin u gaar ah, mid kastaana wuu ku guuldarraysan karaa ogeysiis isku mid ah. Diidmada inta lagu jiro wada hadalka IKE bilowga ah iyo diidmada inta lagu jiro wada hadalka CHILD waxay u baahan yihiin hagaajinno kala duwan, iyo log ayaa caadi ahaan magacaabaa isweydaarsiga hal ama laba sadar oo ka sarreeya ogeysiiska. Labada sadar si wadajir ah u akhri, ama waxaad tafatiran doontaa liiska soo jeedinta khaldan.

Ogeysiisku keligiis ma aqoonsado isweydaarsiga. Sadarka ka sarreeya wuxuu magacaabaa SA-da la wada hadlayo, magacaasna wuxuu tilmaamaa liiska soo jeedinta ee la baarayo.

Isbarbar dhig xirmooyin buuxa, ma aha ereyo muhiim ah oo gaar ah

Soo jeedintu waa isku-dhafan: algorithm sir-gelin, daacadnimo ama AEAD, koox beddelka fureed, iyo hawl kasta oo pseudo-random ah. In kaliya magaca sir-gelinta la isbarbar dhigo waa khaladka caadiga ah, sababtoo ah laba lammaane ayaa ku heshiin kara AES-256 welina ku khilaafsan kara SHA-1 iyo SHA-256. Qor xirmooyinka la soo jeediyay iyo kuwa la oggolaaday oo dhinac-dhinac ah marxaladda guuldaraysatay, ka dib raadi isgoyska madhan.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Sidoo kale hubi in labada fulin ay taageeraan waxa aad habaysay. Magac laga soo guuriyay madal kale ayaa laga yaabaa inuu u muuqdo mid caan ku ah qaab-dhismeed ahaan halka plugin-ka ama fulinta gebi ahaanba maqan yahay.

Xirmada IKE iyo xirmada ESP waa waxyaabo kala duwan

Tafatirka soo jeedinta IKE ma hagaajin doonto soo jeedinta CHILD ee la diiday, taa beddelkeedana waa run. strongSwan dhexdiisa kuwani waa habayno gaar ah, qiyaastii IKE SA waxaa loo yaqaan proposals = aes256-sha256-modp2048 iyo liis ESP gaar ah CHILD SA. Beddel liiska u dhigma isweydaarsiga guuldaraystay, ka dib dib u akhri log-ka halkii aad ka fikiri lahayd in hagaajintu shaqeysay.

CHILD SA, habaynta khusaysa waa liiska soo jeedinta ESP, ma aha liiska IKE. Koobiyeenta sadarka IKE gudaheed waxay abuurtaa habayn la falanqeeyo laakiin ka wada hadasha shay khaldan.

Tunnel shaqeeya oo ku guuldaraysan cusboonaysiinta furaha

Haddii tunnel-ku shaqeeyay saacad kadibna guuldaraystay, wada hadalka bilowga ah maaha dhibaatada. Cusboonaysiinta furaha waxay tijaabin kartaa xaalado kale: koox beddelka fureed oo kala duwan isweydaarsiga koowaad ka dib, ismaandhaaf waajibka nololeed ee u dhexeeya lammaanayaasha, ama siyaasadda jawaab-bixiyaha oo isbeddelay. Hayso shaabadda waqtiga cusboonaysiinta iyo aqoonsiga ururka labada dhinac. Qaabkaas wuxuu u baahan yahay isbarbardhig soo jeedin marka cusboonaysiinta, ma aha waqti-dhaaf dheer. Beddelka waqti-dhaafka wuxuu qariyaa calaamadda wuxuuna ismaandhaafka meeshiisa ku reebaa.

ipsec statusall waxay muujinaysaa urur kasta iyo algorithms-ka dhab ahaan la wada hadlay. Soo saaristaas waa habka ugu dhaqso badan ee lagu xaqiijinayo liiska la isticmaalay, waxayna kala soocdaa khaladka habaynta iyo tunnel duugoobay oo aan waligiis dib looga wada hadlin.

ipsec statusall | grep -E "IKE:|ESP:"

Dooro isgoys, ka dib xaqiiji labada weji

Ka codso maamulaha inuu doorto isgoys casri ah oo la diiwaangeliyay oo labada lammaane ay taageeraan, oo uu qoro. Ha ku xallin khaladka adigoo daaranaya dhammaan algorithms-kii hore ama joojinaya xaqiijinta aqoonsiga, sababtoo ah midkoodna kama imanayo diidmo. Isbeddelka ka dib, samee xiriir cusub kadibna ku qasab cusboonaysiinta furaha. Xiriirka ugu horreeya keligiis ma caddeeyo in wadada cusboonaysiintu shaqeyso.

Hayso isku-dhafka la aqbalay oo la socda noocyada firmware. Haddii khaladka xiga uu ku saabsan yahay doorashada taraafikada, si gaar ah u daawey, sababtoo ah heshiiska kripto waxba kama sheegayo yaa subnet-yada tunnel-ku ilaalinayo. strongSwan dokumentation-ka soo jeedinta waxay daboolaysaa qaab-dhismeedka labada liis.