Windows iyo strongSwan: iswaafajinta afar beddelka ee soo jeedinta IKE

Labada dhinac waxay taageeraan AES, labaduba waxay aqbalaan SHA-256, haddana tunnel-ka ma soo baxo. Soo jeedintu waxay ku guuldareysatay qayb aan cidna barbar dhiggin, sida caadiga ah kooxda is-weydaarsiga furayaasha. Hagahan wuxuu akhriyaa is-weydaarsiga dhabta ah ka hor inta aan wax la beddelin, wuxuu dhaqan galiyaa hal siyaasad oo xaddidan wuxuuna ka tagaa dib u noqosho soo celisa halbeegyadii hore.

Akhri guuldarada ka hor inta aadan beddelin koox

«Khalad is-waafajin siyaasad» waa soo koobid, ma aha ogaanshaha cudurka. Waxay la macno tahay in aan la helin soo jeedin labada dhinacba la aqbali karo, waxna kama sheegto qaybta la diiday. U qaado bilowga baaritaanka, ma aha caddayn ku saabsan koox gaar ah.

Jawaabtu sida caadiga ah waxay ku taal dhinaca server-ka. Diiwaanka strongSwan heer ku habboon wuxuu taxaa soo jeedintii uu ka helay macmiilka iyo soo jeedintii loo habeeyay inuu aqbalo, farqiga u dhexeeya labada liisna wuxuu magacaabaa qaybtii guuldareysatay.

Ha u malayn in macmiilku bixiyo waxa ay sheegto qoraal hore oo madal. Profile-ka firfircoon iyo siyaasaddiisa rakiban ayaa go'aamiya liiska la bixiyay, iyo dhismaha Windows ee la cusboonaysiiyay ayaa laga yaabaa inuu bixiyo jaantus ka duwan kan ku yaal sawirka shaashadda ee aad ka koobiyeysato.

Qor labada liis. Afar boos oo beddel iyo hal koox waa liis gaaban, oo in sadar sadar loo barbar dhigo waxay qaadanaysaa waqti ka yar tijaabo kasta. Afar boos way fudud tahay in la ilaaliyo indhaha. Fayl diiwaan maaha.

Isbarbar dhig beddel kasta, ma aha hal magac caan ah

Soo jeedinta IKE waa ururin doorashooyin oo dhammaantood waa inay iswaafaqaan. Sir-gelu waxay ilaalisaa gorgortanka, daacadnimada ama PRF ayaa xaqiijiya, koox Diffie-Hellman-na waxay dhistaa shay fure cusub. Soo jeedin ku waafaqsan labada hore oo ku duwan saddexaad wali waa mid aan labada dhinacba aqbali karin.

Laba goobood oo Windows oo halkan lagu khaldo waxay ka tirsan yihiin wejiyo kala duwan. DHGroup wuxuu khuseeyaa is-weydaarsiga furayaasha IKE, halka PfsGroup uu khuseeyo ururka ilmo ee ilaaliya taraafikada. Beddelidda tan labaad ma hagaajin karto guuldarada tan koowaad.

Magacyada kooxaha way kala duwan yihiin hirgelinta dhexdeeda, taasna waa isha jahwareerka ee gooni ah. strongSwan wuxuu qoraa modp2048 iyo ecp256 halka Windows uu isticmaalo magacyo tirin sida Group14 iyo ECP256, sidaas darteed isbarbardhiggu waa inuu tarjumo ka hor inta aanu barbar dhigin. Hayso qoraal laba tiir leh oo leh labada magac. Markaas is-waafajin la'aanta xigta waxaa lagu kala saarayaa ilbiriqsiyo gudahood.

Dhaqan gal hal siyaasad oo dhammeystiran oo xaddidan

Qalabka la taageeray ee profile IKEv2 asal ah waa siyaasad IPsec xiriir kasta, oo loo dejiyay hal shay halkii goob goob. Marka hore fiiri, ka dib dhaqan gal, oo hayso halbeegyadii hore diiwaanka isbeddelka.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Beddelaha -WhatIf wuxuu muujiyaa isbeddelka maxalliga ah fiirinta hore waxna ma dhaqan geliyo. Taasi waa faa'iido iyo sidoo kale dabin caadi ah, sababtoo ah fiirinta hore waxay caddeynaysaa oo keliya in halbeegyadu ay naxwe ahaan u aqbali karaan cmdlet-ka maxalliga ah. Wax kama sheegto in iridda ay aqbali doonto soo jeedinta ka dhalata.

Sidoo kale waafaji baaxadda inta aad halkaas joogto. Xiriirka ku jira kaydka dhammaan isticmaalayaasha wuxuu u baahan yahay halbeegga u dhigma ee dhammaan isticmaalayaasha, iyo tafatirka profile-ka isticmaale kasta oo isla magaca muuqda wuxuu beddelaa shay kale oo tunnel-ku aanu isticmaalin.

Ka dib ka hor imtixaanka u keenso dhinaca strongSwan isla jaantuskaas. Isbeddel isku-dubbarid leh labada daraf waa nooca keliya ee isu imanaya; beddelidda hal dhinac iyo isku dayid soo noqnoqota waxay soo saartaa diiwaan ka buuxa isku diidmo.

Si gooni ah u xaqiiji is-weydaarsiga iyo cusboonaysiinta furayaasha

Xiriir guul leh waa hal indho-indheyn, cusboonaysiinta furayaashuna waa mid kale. Gorgortanka IKE ee bilowga ah wuxuu isticmaalaa hal jaantus oo halbeegyo, ururka ilmaha ee qaada taraafikaduna mar dambe ayaa laga yaabaa in dib loo gorgorto siyaasaddiisa. Habaynta isku xirta oo haddana muddo ka dib dhaca sida caadiga ah waa kiiska labaad.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Amarka koowaad wuxuu muujiyaa aragtida server-ka ee ururada la aasaasay, oo ay ku jirto SA ilmaha iyo noloshiisa hadhay. Tan labaad waxay muujinaysaa waxa profile-ka macmiilku hadda hayo, taasna waa dariiqa keliya ee lagu xaqiijin karo in siyaasadda aad dejisay ay tahay siyaasadda dhaqan gal ah.

Fiiri cusboonaysiin buuxda oo furayaasha ka hor inta aadan ku dhawaaqin guul. Taasi waxay la macno tahay in xiriirka kor loo hayo waqti ku filan si ururka ilmuhu u beddelmo, ka dibna la xaqiijiyo in taraafikadu sii socoto. Inta badan is-waafajin la'aanta siyaasaddu waxay ku dhuumataa tallaabadaas, sababtoo ah gorgortanka bilowga ah wuxuu ku guuleysan karaa jaantus aan cusboonaysiintu aqbalin.

Dib u noqoshada waa jaantuskii hore ee halbeegyada, ma aha beddelka fudud. Haddii macmiilku soo bandhigay oo keliya koox duug ah oo daciif ah, jawaabtu waa in la hagaajiyo siyaasadda wadajirka ah ee macmiilka iyo server-ka, ma aha in kooxdaas lagu daro iridda halkaas oo dhinac kasta oo mustaqbalka ah uu hoos uga gorgortami karo ilaa ay gaadho.

Diiwaangeli afarta halbeeg, kooxda, baaxadda xiriirka iyo natiijada cusboonaysiinta furayaasha. Kani waa qoraal gaaban, waana ka duwanaanshaha hage iyo sheeko ku saabsan markii tunnel-ku soo baxay.