Sifa za Windows na strongSwan: linganisha safu sahihi

Pande zote mbili zinasema AES-128 na handaki bado linakataa kujengwa. CBC na GCM ni mabadiliko tofauti ambayo kwa bahati yanashiriki urefu sawa wa ufunguo, na mteja anayetoa moja hakuridhishi lango linalokubali lingine pekee. Neno AES linaeleza familia, si makubaliano.

Kuna mhimili wa pili pia, na ndio unaozalisha makosa ya kuchanganya.

Safu mbili, orodha mbili huru

IKE inalinda mazungumzo yenyewe, wakati chama cha mtoto kinalinda trafiki unayojali kwa kweli. Windows inaonyesha ya kwanza kama njia ya usimbaji fiche na njia ya uadilifu, na ya pili kama vibadala vya mabadiliko ya sifa na uthibitishaji. Sehemu hizo si majina mbadala ya nyingine, na thamani halali katika moja inaweza kuwa isiyo na maana au mbaya katika nyingine. Kusoma wasifu ukiwa na mgawanyiko huo akilini huondoa sehemu kubwa ya mkanganyiko.

Matokeo ya kiutendaji ni kwamba unaweza kuwa na sera ya kubadilishana funguo inayokubalika kabisa na sera ya kituo cha data ambayo mwenzake hatakubali. Orodha moja inajadili; nyingine inalinda pakiti. Kubadilisha thamani katika ya kwanza hakuna athari kwa ya pili, hata kama mbili zinafanana kiasi gani kwenye kidirisha cha usanidi.

Andika orodha zote mbili kabla ya kuzilinganisha na lango. Ulinganisho wa kumbukumbu ndio njia ambayo sehemu moja hurekebishwa mara mbili na nyingine kamwe. Weka konsoli ya lango wazi kando ya wasifu.

Soma kosa kando ya mapendekezo

Hatua iliyoshindwa inakuambia orodha ipi ya kuchunguza. Kukataa wakati wa kubadilishana funguo za awali ni tatizo la pendekezo la IKE, na hutokea kabla ya chama chochote cha mtoto kuwepo. Kushindwa wakati chama cha trafiki kilicholindwa kinajadiliwa ni tatizo la pendekezo la ESP, na kubadilishana funguo tayari kumefanikiwa. Ujumbe wa jumla wa ulinganifu wa sera kutoka kwa mteja hautaji hatua yoyote kati ya mbili, ndiyo sababu mtazamo wa lango wenyewe ndio wenye manufaa.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

Linganisha pendekezo lililopokelewa, pendekezo lililosanidiwa na lile lililochaguliwa kwa jaribio hilo moja. Orodha tatu tofauti ni muhimu hapa, na ni ya mwisho pekee inayoeleza kile kilichotumika kweli. Linukuu kwa maneno katika tikiti badala ya kulifupisha.

Weka CBC na GCM kama njia mbadala tofauti

Lango linaloruhusiwa kwa makusudi kukubali familia yoyote linahitaji mapendekezo mawili, si moja. Katika strongSwan koma hutenganisha njia mbadala, na kistari huunganisha vipengele vya seti moja. Kuchanganya familia zote mbili kwa vistari huzalisha pendekezo moja lisilowezekana badala ya mawili yanayokubalika.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

Njia mbadala ya kwanza inabeba usimbaji fiche uliothibitishwa na bado inataja kitendakazi cha bahati nasibu, kwa sababu uundaji wa ufunguo unahitaji kimoja hata uadilifu unapotoka kwenye sifa. Njia mbadala ya pili ni usimbaji fiche wa kawaida na algoriti tofauti ya uadilifu. Zote mbili zinategemea kile utekelezaji wa kripto uliopakiwa unasaidia.

Pendekezo la ESP si pendekezo la IKE lililopewa jina jipya

Tokeni ya sifa inaonekana sawa katika orodha zote mbili, na karibu hakuna kitu kingine kinachohamishwa. Pendekezo la ESP halina kitendakazi cha bahati nasibu cha kubadilishana funguo, na mahitaji yake ya uadilifu na usiri wa mbele yanajadiliwa dhidi ya sera ya Windows upande wa pili badala ya kunakiliwa kutoka mstari wa IKE. Kutafsiri orodha moja hadi nyingine kwa njia ya kiufundi huzalisha kitu kinachothibitishwa na kamwe hakijadili.

Chagua mwelekeo na ubaki ndani yake. Ama lango linahifadhi sera ya GCM pekee na mteja anaweka sera kamili inayolingana, au lango linakubali familia zote mbili na mteja anahifadhi seti yake iliyopo. Kuwasha njia mbadala ambayo sera ya usalama inaikataza si marekebisho, hata kama inaondoa kosa haraka kiasi gani.

Thibitisha seti zote mbili, kisha uboreshaji wa ufunguo

Thibitisha seti ya kubadilishana funguo iliyochaguliwa na seti ya trafiki iliyochaguliwa kwa tofauti, kwa sababu zinatoka kwenye orodha tofauti na zinaweza kufanikiwa kwa kujitegemea. Kisha acha uboreshaji wa ufunguo utokee na uuthibitishe pia. Kupeana mkono kwa mara ya kwanza kunakofanya kazi na uboreshaji wa ufunguo unaoshindwa kunaeleza seti ya mapendekezo inayokubalika kwa sehemu tu.

Hifadhi ushahidi huo pamoja na mabadiliko. Kukatika kwa muunganisho kunaorudia kunahitaji rekodi yake ya kubadilishana iliyoshindwa kabla mtu yeyote kulaumu kipima muda au hitilafu ya jukwaa.