IKEv2 NO_PROPOSAL_CHOSEN: hatua ipi ilikataa seti?

NO_PROPOSAL_CHOSEN kwenye logi huwapeleka watu kwenye ufunguo ulioshirikiwa mapema, na hitilafu huendelea baada ya mabadiliko. Haikuwa kamwe tatizo la vitambulisho: mwenzake alikataa kila pendekezo lililotolewa kwa mabadilishano hayo, jambo ambalo ni kauli kuhusu algoriti na si utambulisho. Swali la kwanza lenye faida si algoriti ipi ifanyiwe marekebisho, bali ni mabadilishano yapi yalikataliwa. Jibu hilo kabla ya kulinganisha chochote. Kisha linganisha seti kamili iliyotolewa na seti kamili ambayo mwenzake anaruhusu.

Kwanza: mabadilishano yapi yalikataliwa

IKEv2 hujadili aina mbili za muungano. IKE SA hulinda majadiliano yenyewe, na CHILD SA hulinda trafiki. Kila moja ina seti yake ya mapendekezo, na kila moja inaweza kushindikana kwa arifa moja. Kukataliwa wakati wa majadiliano ya awali ya IKE na kukataliwa wakati wa majadiliano ya CHILD kunahitaji marekebisho tofauti, na logi kwa kawaida hutaja mabadilishano mstari mmoja au miwili juu ya arifa. Soma mistari hiyo miwili pamoja, vinginevyo utahariri orodha isiyo sahihi ya mapendekezo.

Arifa peke yake haitambui mabadilishano. Mstari ulio juu yake hutaja SA inayojadiliwa, na jina hilo linaelekeza kwenye orodha ya mapendekezo ya kuchunguzwa.

Linganisha seti kamili, si maneno muhimu ya pekee

Pendekezo ni mchanganyiko: algoriti ya usimbaji fiche, uadilifu au AEAD, kikundi cha kubadilishana funguo, na kitendakazi chochote cha bahati nasibu bandia. Kulinganisha jina la usimbaji fiche peke yake ni kosa la kawaida, kwa sababu wenza wawili wanaweza kukubaliana kuhusu AES-256 na bado kutokubaliana kuhusu SHA-1 dhidi ya SHA-256. Andika seti zilizotolewa na zilizoruhusiwa kando kwa kando katika hatua iliyoshindikana, kisha tafuta makutano tupu.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Pia hakikisha kwamba utekelezaji wote wawili unaunga mkono ulichosanidi. Jina lililonakiliwa kutoka jukwaa lingine linaweza kuonekana kama linafahamika kiusanifu wakati programu-jalizi au utekelezaji haupo kabisa.

Seti ya IKE na seti ya ESP ni vitu tofauti

Kuhariri pendekezo la IKE hakutarekebisha pendekezo la CHILD lililokataliwa, na kinyume chake pia ni kweli. Katika strongSwan haya ni mipangilio tofauti, takriban proposals = aes256-sha256-modp2048 kwa IKE SA na orodha tofauti ya ESP kwa CHILD SA. Badilisha orodha inayolingana na mabadilishano yaliyoshindikana, kisha soma logi tena badala ya kudhani marekebisho yalifanya kazi.

Kwa CHILD SA, mpangilio unaohusika ni orodha ya mapendekezo ya ESP, si orodha ya IKE. Kunakili mstari wa IKE ndani yake huzalisha usanidi unaochanganuliwa lakini hujadili kitu kisicho sahihi.

Tunnel inayofanya kazi na kushindikana wakati wa kuhuisha ufunguo

Ikiwa tunnel ilifanya kazi kwa saa moja kisha ikashindikana, majadiliano ya awali hayana tatizo. Uhuishaji wa ufunguo unaweza kujaribu masharti mengine: kikundi tofauti cha kubadilishana funguo baada ya mabadilishano ya kwanza, kutolingana kwa muda wa maisha kati ya wenza, au sera ya mjibu iliyobadilika. Hifadhi muhuri wa muda wa uhuishaji na vitambulisho vya muungano kutoka pande zote mbili. Mtindo huo unahitaji ulinganisho wa mapendekezo wakati wa uhuishaji, si muda mrefu zaidi wa kusubiri. Kubadilisha muda wa kusubiri huficha dalili na huacha kutolingana mahali pake.

ipsec statusall huonyesha kila muungano na algoriti zilizojadiliwa kwa hakika. Matokeo hayo ni njia ya haraka zaidi ya kuthibitisha orodha ipi ilitumika, na hutenganisha hitilafu ya usanidi na tunnel ya zamani ambayo haikujadiliwa upya.

ipsec statusall | grep -E "IKE:|ESP:"

Chagua makutano, kisha thibitisha awamu zote mbili

Omba msimamizi achague makutano ya kisasa yaliyoandikwa ambayo wenza wote wawili wanaunga mkono, na ayaandike. Usitatue hitilafu kwa kuwezesha algoriti zote za zamani au kwa kuzima uthibitishaji wa utambulisho, kwa sababu hakuna hata moja inayotokana na kukataliwa. Baada ya mabadiliko, anzisha muunganisho mpya kisha ulazimishe uhuishaji wa ufunguo. Muunganisho wa kwanza peke yake hauthibitishi kwamba njia ya uhuishaji inafanya kazi.

Hifadhi mchanganyiko uliokubaliwa pamoja na matoleo ya firmware. Ikiwa hitilafu ijayo inahusu vichaguzi vya trafiki, ishughulikie kivyake, kwa sababu makubaliano kuhusu kriptografia hayasemi chochote kuhusu subnet zipi tunnel inalinda. strongSwan nyaraka za mapendekezo inashughulikia sintaksia ya orodha zote mbili.