Windows и strongSwan: усклађивање четири трансформације у IKE предлогу

Обе стране подржавају AES, обе прихватају SHA-256, а тунел се ипак не подиже. Предлог је пао на компоненти коју нико није упоредио, обично на групи за размену кључева. Овај приручник чита стварну размену пре него што се било шта промени, примењује једну ограничену политику и оставља враћање које обнавља претходне параметре.

Прочитајте неуспех пре него што промените групу

„Грешка подударања политике“ је сажетак, а не дијагноза. Значи да није пронађен обострано прихватљив предлог и не говори ништа о томе која је компонента одбијена. Третирајте је као почетак истраге, а не као доказ о одређеној групи.

Одговор обично носи серверска страна. strongSwan запис на одговарајућем нивоу набраја предлог примљен од клијента и предлог који је конфигурисан да прихвати, а разлика између две листе именује компоненту која је пала.

Не претпостављајте да клијент нуди оно што тврди старија форумска објава. Активни профил и његова инсталирана политика одређују понуђену листу, а ажурирана Windows градња може понудити другачији скуп од оног на снимку екрана са којег копирате.

Запишите обе листе. Четири позиције трансформације и једна група кратка је листа, а поређење ред по ред траје краће од било ког експеримента. Четири позиције лако је држати на оку. Записни фајл није.

Упоредите сваку трансформацију, а не једно познато име

IKE предлог је скуп избора који се сви морају подударати. Шифровање штити преговарање, интегритет или PRF га потврђује, а Diffie-Hellman група ствара свеж кључни материјал. Предлог који се подудара у прва два и разликује у трећем и даље је неприхватљив за обе стране.

Два Windows поља која се овде мешају припадају различитим фазама. DHGroup односи се на IKE размену кључева, а PfsGroup на дете асоцијацију која штити саобраћај. Промена другог не може поправити неуспех у првом.

Називи група разликују се међу имплементацијама и то је одвојен извор забуне. strongSwan пише modp2048 и ecp256, док Windows користи називе набрајања као Group14 и ECP256, па поређење мора превести пре него што упореди. Држите белешку у две колоне са оба назива. Следеће неслагање тада се класификује за неколико секунди.

Примените једну потпуну и ограничену политику

Подржани инструмент за изворни IKEv2 профил је IPsec политика по вези, постављена као један објекат, а не поље по поље. Прво је прегледајте, затим примените и сачувајте претходне параметре у запису промене.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Прекидач -WhatIf прегледа локалну промену и ништа не примењује. То је корисно и уједно честа замка, јер преглед доказује само да су параметри синтаксно прихватљиви локалном cmdlet-у. Не говори ништа о томе хоће ли мрежни пролаз прихватити добијени предлог.

Уједно ускладите и обим. Веза у спремишту за све кориснике треба одговарајући параметар за све кориснике, а уређивање профила по кориснику са истим приказаним именом мења други објекат који тунел не користи.

Затим пре тестирања ускладите strongSwan страну на исти скуп. Усклађена промена на оба краја једина је верзија овога која конвергира; промена једне стране и поновљени покушаји дају запис пун истог одбијања.

Проверите размену и обнављање кључева одвојено

Успешна веза једно је запажање, а обнављање кључева друго. Почетно IKE преговарање користи један скуп параметара, а дете асоцијација која носи саобраћај може се касније поново преговарати са својом политиком. Поставка која се повеже и затим након неког времена падне обично је други случај.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Прва наредба показује поглед сервера на успостављене асоцијације, укључујући дете SA и њен преостали век. Друга показује шта клијентски профил сада држи и то је једини начин да потврдите да је политика коју сте поставили политика на снази.

Посматрајте пуно обнављање кључева пре него што прогласите успех. То значи оставити везу подигнутом довољно дуго да се дете асоцијација замени, а затим потврдити да саобраћај тече даље. Већина неслагања политике крије се управо у том кораку, јер почетно преговарање може успети са скупом који обнављање не прихвата.

Враћање је претходни скуп параметара, а не пермисивна резерва. Ако је клијент понудио само слабу наслеђену групу, одговор је побољшати заједничку политику клијента и сервера, а не додати ту групу на мрежни пролаз где свака будућа страна може преговарати надоле до ње.

Запишите четири параметра, групу, обим везе и резултат обнављања кључева. То је кратка белешка и она је разлика између приручника и приче о томе како се тунел једном подигао.