Windows dhe strongSwan: përputhja e katër transformimeve në një propozim IKE

Të dyja palët mbështesin AES, të dyja pranojnë SHA-256, dhe tuneli prapëseprapë nuk ngrihet. Propozimi dështoi në një komponent që askush nuk e krahasoi, zakonisht në grupin e shkëmbimit të çelësave. Ky udhëzues lexon shkëmbimin real përpara se të ndryshohet gjë, zbaton një politikë të vetme të kufizuar dhe lë një kthim pas që rikthen parametrat e mëparshëm.

Lexoni dështimin përpara se të ndryshoni një grup

Një «gabim përputhjeje politike» është përmbledhje, jo diagnozë. Do të thotë që nuk u gjet asnjë propozim i pranueshëm reciprokisht dhe nuk thotë asgjë për atë se cili komponent u refuzua. Trajtojeni si fillimin e hetimit dhe jo si provë për një grup të caktuar.

Përgjigjja zakonisht ndodhet në anën e serverit. Një regjistër strongSwan në nivelin e duhur liston propozimin e marrë nga klienti dhe propozimin për të cilin është konfiguruar të pranojë, dhe ndryshimi midis dy listave emërton komponentin që dështoi.

Mos supozoni se klienti ofron atë që thotë një postim i vjetër në forum. Profili aktiv dhe politika e tij e instaluar përcaktojnë listën e ofruar, dhe një ndërtim i përditësuar i Windows mund të ofrojë një grup tjetër nga ai në pamjen e ekranit që po kopjoni.

Shkruani të dyja listat. Katër pozicione transformimi dhe një grup janë një listë e shkurtër, dhe krahasimi i saj rresht për rresht merr më pak kohë se çdo eksperiment. Katër pozicione mbahen lehtë në sy. Një skedar regjistri jo.

Krahasoni çdo transformim, jo një emër të njohur

Një propozim IKE është një grup zgjedhjesh që duhet të përputhen të gjitha. Kriptimi mbron negociimin, integriteti ose një PRF e vërteton atë, dhe një grup Diffie-Hellman krijon material të freskët çelësi. Një propozim që përputhet në dy të parat dhe ndryshon në të tretën mbetet i papranueshëm për të dyja palët.

Dy fushat e Windows që ngatërrohen këtu i përkasin fazave të ndryshme. DHGroup zbatohet për shkëmbimin e çelësave IKE, ndërsa PfsGroup zbatohet për shoqatën fëmijë që mbron trafikun. Ndryshimi i të dytës nuk mund të rregullojë një dështim në të parën.

Emrat e grupeve ndryshojnë midis implementimeve, dhe kjo është një burim i veçantë konfuzioni. strongSwan shkruan modp2048 dhe ecp256, ndërsa Windows përdor emra numërimi si Group14 dhe ECP256, prandaj një krahasim duhet të përkthejë përpara se të krahasojë. Mbani një shënim me dy kolona me të dy emrat. Mospërputhja tjetër klasifikohet atëherë në sekonda.

Zbatoni një politikë të plotë dhe të kufizuar

Instrumenti i mbështetur për një profil IKEv2 vendës është një politikë IPsec për lidhje, e vendosur si një objekt i vetëm dhe jo fushë për fushë. Shikojeni fillimisht në pamje paraprake, më pas zbatoni atë, dhe ruani parametrat e mëparshëm në regjistrin e ndryshimeve.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Ndërprerësi -WhatIf shfaq ndryshimin lokal në pamje paraprake dhe nuk zbaton asgjë. Kjo është e dobishme dhe njëkohësisht një kurth i zakonshëm, sepse pamja paraprake vërteton vetëm se parametrat janë sintaksisht të pranueshëm për cmdlet-in lokal. Nuk thotë asgjë për atë se a do ta pranojë porta propozimin që rezulton.

Përputhni edhe shtrirjen ndërsa jeni atje. Një lidhje në depon e të gjithë përdoruesve ka nevojë për parametrin përkatës të të gjithë përdoruesve, dhe redaktimi i profilit për përdorues me të njëjtin emër të shfaqur ndryshon një objekt tjetër që tuneli nuk e përdor.

Më pas përpara testimit sillni anën strongSwan në të njëjtin grup. Një ndryshim i koordinuar në të dy skajet është i vetmi version që konvergjon; ndryshimi i njërës anë dhe përsëritja e provave prodhon një regjistër plot me të njëjtin refuzim.

Verifikoni veçmas shkëmbimin dhe ripërtëritjen e çelësave

Një lidhje e suksesshme është një vëzhgim, dhe ripërtëritja e çelësave është një tjetër. Negocimi fillestar IKE përdor një grup parametrash, dhe shoqata fëmijë që mbart trafikun mund të rinegociohet më vonë me politikën e vet. Një konfigurim që lidhet dhe pastaj bie pas njëfarë kohe është zakonisht rasti i dytë.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Komanda e parë tregon pamjen e serverit për shoqatat e vendosura, përfshirë SA fëmijë dhe jetëgjatësinë e saj të mbetur. E dyta tregon çfarë mban tani profili i klientit, dhe është mënyra e vetme për të konfirmuar se politika që vendosët është politika në fuqi.

Vëzhgoni një ripërtëritje të plotë të çelësave përpara se të shpallni sukses. Kjo do të thotë ta lini lidhjen lart mjaftueshëm gjatë që shoqata fëmijë të zëvendësohet, dhe pastaj të konfirmoni se trafiku vazhdon. Shumica e mospërputhjeve të politikës fshihen pikërisht në atë hap, sepse negocimi fillestar mund të ketë sukses me një grup që ripërtëritja nuk e pranon.

Kthimi pas është grupi i mëparshëm i parametrave, jo një alternativë lejuese. Nëse klienti ofroi vetëm një grup të vjetër të dobët, përgjigjja është të përmirësohet politika e përbashkët e klientit dhe serverit, jo të shtohet ai grup në portë ku çdo palë e ardhshme mund të negociojë poshtë deri tek ai.

Shënoni katër parametrat, grupin, shtrirjen e lidhjes dhe rezultatin e ripërtëritjes së çelësave. Është një shënim i shkurtër, dhe është ndryshimi midis një udhëzuesi dhe një historie për herën kur tuneli u ngrit.