Windows na strongSwan: kulinganisha mageuzi manne katika pendekezo la IKE

Pande zote mbili zinaunga mkono AES, zote zinakubali SHA-256, na handaki bado haipandi. Pendekezo lilionekana kushindwa kwenye sehemu ambayo hakuna aliyelinganisha, kwa kawaida kundi la kubadilishana funguo. Mwongozo huu unasoma ubadilishanaji halisi kabla ya kubadilisha kitu chochote, unatumia sera moja iliyo na mipaka na unaacha njia ya kurudi inayorejesha vigezo vya awali.

Soma kushindwa kabla ya kubadilisha kundi

«Hitilafu ya ulinganifu wa sera» ni muhtasari, si utambuzi. Inamaanisha hakuna pendekezo linalokubalika kwa pande zote mbili lililopatikana, na haisemi chochote kuhusu sehemu gani ilikataliwa. Ichukulie kama mwanzo wa uchunguzi na si kama ushahidi kuhusu kundi fulani.

Jibu kwa kawaida liko upande wa seva. Kumbukumbu ya strongSwan katika ngazi inayofaa inaorodhesha pendekezo lililopokelewa kutoka kwa mteja na pendekezo ambalo imesanidiwa kulikubali, na tofauti kati ya orodha hizo mbili inataja sehemu iliyoshindwa.

Usidhani mteja anatoa kile ambacho chapisho la zamani la jukwaa linasema. Wasifu unaotumika na sera yake iliyosakinishwa huamua orodha inayotolewa, na toleo la Windows lililosasishwa linaweza kutoa seti tofauti na ile iliyo kwenye picha ya skrini unayonakili.

Andika orodha zote mbili. Nafasi nne za mageuzi na kundi moja ni orodha fupi, na kuilinganisha mstari kwa mstari huchukua muda mfupi kuliko jaribio lolote. Nafasi nne ni rahisi kuzifuatilia kwa macho. Faili ya kumbukumbu sivyo.

Linganisha mageuzi yote, si jina moja linalojulikana

Pendekezo la IKE ni seti ya chaguo ambazo zote lazima zilingane. Usimbaji fiche hulinda mazungumzo, uadilifu au PRF huthibitisha, na kundi la Diffie-Hellman huunda nyenzo mpya ya ufunguo. Pendekezo linalolingana kwa mawili ya kwanza na kutofautiana kwa la tatu bado halikubaliki kwa pande zote mbili.

Sehemu mbili za Windows zinazochanganywa hapa ni za awamu tofauti. DHGroup inahusu ubadilishanaji wa funguo wa IKE, wakati PfsGroup inahusu muungano wa mtoto unaolinda trafiki. Kubadilisha la pili hakuwezi kurekebisha kushindwa kwa la kwanza.

Majina ya makundi hutofautiana kati ya utekelezaji, na hiyo ni chanzo tofauti cha mkanganyiko. strongSwan huandika modp2048 na ecp256, wakati Windows hutumia majina ya uhesabuji kama Group14 na ECP256, kwa hiyo ulinganisho lazima utafsiri kabla ya kulinganisha. Weka noti ya safu mbili na majina yote mawili. Kisha kutofautiana kunakofuata hutambuliwa kwa sekunde.

Tumia sera moja kamili na iliyo na mipaka

Chombo kinachotumika kwa wasifu asilia wa IKEv2 ni sera ya IPsec kwa kila muunganisho, iliyowekwa kama kitu kimoja badala ya sehemu kwa sehemu. Iangalie kwanza kwa hakikisho, kisha itumie, na uhifadhi vigezo vya awali kwenye kumbukumbu ya mabadiliko.

Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf

Kitufe cha -WhatIf kinaonyesha mabadiliko ya ndani kwa hakikisho na hakitumii chochote. Hiyo ni muhimu na wakati huo huo ni mtego wa kawaida, kwa sababu hakikisho huthibitisha tu kwamba vigezo vinakubalika kisarufi kwa cmdlet ya ndani. Haisemi chochote kuhusu kama lango litakubali pendekezo linalotokana.

Linganisha pia wigo wakati ukiwa hapo. Muunganisho katika hifadhi ya watumiaji wote unahitaji kigezo sambamba cha watumiaji wote, na kuhariri wasifu wa kila mtumiaji kwa jina lile lile la kuonyesha hubadilisha kitu kingine ambacho handaki haitumii.

Kisha kabla ya jaribio linganisha upande wa strongSwan kwenye seti hiyo hiyo. Mabadiliko yaliyoratibiwa pande zote mbili ni toleo pekee la hili linalounganika; kubadilisha upande mmoja na kujaribu tena na tena hutoa kumbukumbu iliyojaa kukataliwa kulekule.

Thibitisha ubadilishanaji na uhuishaji wa funguo kwa tofauti

Muunganisho uliofanikiwa ni uchunguzi mmoja, na uhuishaji wa funguo ni mwingine. Mazungumzo ya awali ya IKE hutumia seti moja ya vigezo, na muungano wa mtoto unaobeba trafiki unaweza kujadiliwa upya baadaye na sera yake mwenyewe. Mpangilio unaounganika kisha kuanguka baada ya muda kwa kawaida ni kisa cha pili.

ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *

Amri ya kwanza inaonyesha mtazamo wa seva kuhusu miungano iliyoanzishwa, ikiwa ni pamoja na SA ya mtoto na maisha yake yaliyobaki. Ya pili inaonyesha wasifu wa mteja unavyoshikilia sasa, na hiyo ni njia pekee ya kuthibitisha kwamba sera uliyoweka ndiyo sera inayotumika.

Fuatilia uhuishaji kamili wa funguo kabla ya kutangaza mafanikio. Hiyo inamaanisha kuacha muunganisho ukiwa juu muda wa kutosha ili muungano wa mtoto ubadilishwe, kisha kuthibitisha kwamba trafiki inaendelea. Kutokubaliana kwa sera nyingi hujificha katika hatua hiyo, kwa sababu mazungumzo ya awali yanaweza kufanikiwa na seti ambayo uhuishaji haukubali.

Kurudi nyuma ni seti ya vigezo vya awali, si mbadala mlegevu. Ikiwa mteja alitoa kundi la zamani dhaifu pekee, jibu ni kuboresha sera ya pamoja ya mteja na seva, si kuongeza kundi hilo kwenye lango ambapo kila upande wa baadaye unaweza kujadili kushuka hadi hapo.

Rekodi vigezo vinne, kundi, wigo wa muunganisho na matokeo ya uhuishaji wa funguo. Hii ni noti fupi, na ndiyo tofauti kati ya mwongozo na hadithi kuhusu wakati handaki lilipopanda.