IKEv2 NO_PROPOSAL_CHOSEN: cila fazë e refuzoi grupin?

NO_PROPOSAL_CHOSEN në një regjistër i dërgon njerëzit te çelësi i ndarë paraprakisht, dhe gabimi mbijeton edhe pas ndryshimit. Nuk ishte kurrë problem kredencialesh: pala refuzoi çdo propozim të ofruar për atë shkëmbim, gjë që është deklaratë për algoritmet dhe jo për identitetin. Pyetja e parë e dobishme nuk është cili algoritëm të redaktohet, por cili shkëmbim u refuzua. Përgjigjuni asaj përpara se të krahasoni çdo gjë. Pastaj krahasoni grupin e plotë të ofruar me grupin e plotë që pala lejon.

Së pari: cili shkëmbim u refuzua

IKEv2 negocion dy lloje shoqatash. IKE SA mbron vetë negocimin, dhe CHILD SA mbron trafikun. Secila ka grupin e vet të propozimeve, dhe secila mund të dështojë me të njëjtin njoftim. Një refuzim gjatë negocimit fillestar IKE dhe një refuzim gjatë negocimit CHILD kërkojnë rregullime të ndryshme, dhe regjistri zakonisht e emërton shkëmbimin një ose dy rreshta mbi njoftimin. Lexoni ato dy rreshta së bashku, përndryshe do të redaktoni listën e gabuar të propozimeve.

Njoftimi vetëm nuk e identifikon shkëmbimin. Rreshti sipër tij emërton SA-në që negociohet, dhe ai emër tregon listën e propozimeve për t'u inspektuar.

Krahasoni grupe të plota, jo fjalë kyçe të veçanta

Një propozim është një kombinim: algoritëm enkriptimi, integritet ose AEAD, grup shkëmbimi çelësash dhe çdo funksion pseudo-rastësor. Krahasimi vetëm i emrit të enkriptimit është gabimi i zakonshëm, sepse dy palë mund të bien dakord për AES-256 dhe prapë të mos bien dakord për SHA-1 kundrejt SHA-256. Shkruani grupet e ofruara dhe të lejuara krah për krah në fazën e dështuar, pastaj kërkoni prerjen bosh.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Kontrolloni gjithashtu se të dy implementimet mbështesin atë që keni konfiguruar. Një emër i kopjuar nga një platformë tjetër mund të duket sintaksisht i njohur ndërsa shtojca ose implementimi mungon plotësisht.

Grupi IKE dhe grupi ESP janë objekte të ndryshme

Redaktimi i propozimit IKE nuk do të rregullojë një propozim CHILD të refuzuar, dhe e kundërta është gjithashtu e vërtetë. Në strongSwan këto janë cilësime të veçanta, afërsisht proposals = aes256-sha256-modp2048 për IKE SA dhe një listë e veçantë ESP për CHILD SA. Ndryshoni listën që përputhet me shkëmbimin e dështuar, pastaj rilexoni regjistrin në vend që të supozoni se rregullimi funksionoi.

Për CHILD SA, cilësimi përkatës është lista e propozimeve ESP, jo lista IKE. Kopjimi i rreshtit IKE në të prodhon një konfigurim që analizohet por negocion objektin e gabuar.

Një tunel funksional që dështon në rinovimin e çelësit

Nëse tuneli funksionoi për një orë dhe pastaj dështoi, negocimi fillestar nuk është problemi. Rinovimi i çelësit mund të provojë kushte të tjera: një grup tjetër shkëmbimi çelësash pas shkëmbimit të parë, një mospërputhje jetëgjatësie midis palëve ose një politikë e ndryshuar e përgjigjësit. Ruani vulën kohore të rinovimit dhe identifikuesit e shoqatës nga të dyja anët. Ai model kërkon një krahasim propozimesh në rinovim, jo një afat më të gjatë. Ndryshimi i afatit fsheh simptomën dhe e lë mospërputhjen në vend.

ipsec statusall shfaq çdo shoqatë dhe algoritmet e negociuara në të vërtetë. Ai dalje është mënyra më e shpejtë për të konfirmuar cila listë u përdor, dhe ndan një gabim konfigurimi nga një tunel i vjetër që nuk u rinegociua kurrë.

ipsec statusall | grep -E "IKE:|ESP:"

Zgjidhni një prerje, pastaj konfirmoni të dyja fazat

Kërkoni nga administratori të zgjedhë një prerje moderne të dokumentuar që të dy palët e mbështesin, dhe ta shkruajë atë. Mos e zgjidhni gabimin duke aktivizuar të gjithë algoritmet e vjetra ose duke çaktivizuar verifikimin e identitetit, sepse asnjëra nuk rrjedh nga një refuzim. Pas ndryshimit, vendosni një lidhje të re dhe pastaj detyroni një rinovim çelësi. Vetëm lidhja e parë nuk provon se rruga e rinovimit funksionon.

Ruani kombinimin e pranuar së bashku me versionet e firmware. Nëse gabimi i ardhshëm ka të bëjë me përzgjedhësit e trafikut, trajtojeni veçmas, sepse marrëveshja për kriptografinë nuk thotë asgjë për atë se cilat nënrrjeta mbron tuneli. dokumentacioni i propozimeve të strongSwan mbulon sintaksën për të dyja listat.