IKEv2 NO_PROPOSAL_CHOSEN: எந்தக் கட்டம் தொகுப்பை நிராகரித்தது?

பதிவில் NO_PROPOSAL_CHOSEN கண்டால் மக்கள் முன்பே பகிரப்பட்ட விசையை நோக்கி ஓடுகிறார்கள், விசையை மாற்றிய பின்னும் பிழை தொடர்கிறது. இது ஒருபோதும் சான்றுகளின் சிக்கலாக இருந்ததில்லை: சகர் அந்தப் பரிமாற்றத்திற்கு வழங்கப்பட்ட ஒவ்வொரு முன்மொழிவையும் நிராகரித்தார், அது அடையாளத்தைப் பற்றியது அல்ல, அல்காரிதங்களைப் பற்றிய கூற்று. முதல் பயனுள்ள கேள்வி எந்த அல்காரிதத்தைத் திருத்துவது என்பதல்ல, எந்தப் பரிமாற்றம் நிராகரிக்கப்பட்டது என்பதே. எதையும் ஒப்பிடுவதற்கு முன் அதற்குப் பதிலளியுங்கள். பின்னர் வழங்கப்பட்ட முழுத் தொகுப்பை சகர் அனுமதிக்கும் முழுத் தொகுப்புடன் ஒப்பிடுங்கள்.

முதலில்: எந்தப் பரிமாற்றம் நிராகரிக்கப்பட்டது

IKEv2 இரண்டு வகையான சங்கங்களைப் பேச்சுவார்த்தை செய்கிறது. IKE SA பேச்சுவார்த்தையையே பாதுகாக்கிறது, CHILD SA போக்குவரத்தைப் பாதுகாக்கிறது. ஒவ்வொன்றுக்கும் அதன் சொந்த முன்மொழிவுத் தொகுப்பு உள்ளது, ஒவ்வொன்றும் ஒரே அறிவிப்புடன் தோல்வியடையலாம். ஆரம்ப IKE பேச்சுவார்த்தையின் போது நிராகரிப்பு மற்றும் CHILD பேச்சுவார்த்தையின் போது நிராகரிப்பு வெவ்வேறு திருத்தங்களைத் தேவைப்படுகின்றன, மேலும் பதிவு வழக்கமாக அறிவிப்புக்கு ஒன்று அல்லது இரண்டு வரிகள் மேலே பரிமாற்றத்தின் பெயரைக் கூறும். அந்த இரண்டு வரிகளையும் ஒன்றாகப் படியுங்கள், இல்லையெனில் தவறான முன்மொழிவுப் பட்டியலைத் திருத்துவீர்கள்.

அறிவிப்பு மட்டும் பரிமாற்றத்தை அடையாளம் காட்டாது. அதற்கு மேலே உள்ள வரி பேச்சுவார்த்தை நடக்கும் SA-ஐக் குறிப்பிடுகிறது, அந்தப் பெயர் சரிபார்க்க வேண்டிய முன்மொழிவுப் பட்டியலைச் சுட்டுகிறது.

முழுத் தொகுப்புகளை ஒப்பிடுங்கள், தனிப்பட்ட முக்கிய சொற்களை அல்ல

முன்மொழிவு ஒரு கலவை: குறியாக்க அல்காரிதம், ஒருமைப்பாடு அல்லது AEAD, விசைப் பரிமாற்றக் குழு, மற்றும் எந்த போலி-சீரற்ற செயல்பாடும். குறியாக்கத்தின் பெயரை மட்டும் ஒப்பிடுவது வழக்கமான தவறு, ஏனெனில் இரு சகர்கள் AES-256-இல் உடன்பட்டு SHA-1 மற்றும் SHA-256 விஷயத்தில் இன்னும் முரண்படலாம். தோல்வியடைந்த கட்டத்தில் வழங்கப்பட்ட மற்றும் அனுமதிக்கப்பட்ட தொகுப்புகளை அருகருகே எழுதி, பின்னர் காலியான வெட்டுவெளியைத் தேடுங்கள்.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

இரு செயலாக்கங்களும் நீங்கள் உள்ளமைத்ததை ஆதரிக்கின்றனவா என்பதையும் சரிபார்க்கவும். வேறு தளத்திலிருந்து நகலெடுக்கப்பட்ட பெயர் இலக்கணப்படி பரிச்சயமாகத் தோன்றலாம் ஆனால் செருகுநிரல் அல்லது செயலாக்கம் முற்றிலும் இல்லை.

IKE தொகுப்பும் ESP தொகுப்பும் வெவ்வேறு பொருள்கள்

IKE முன்மொழிவைத் திருத்துவது நிராகரிக்கப்பட்ட CHILD முன்மொழிவைச் சரிசெய்யாது, நேர்மாறும் உண்மை. strongSwan-இல் இவை தனித் தனி அமைப்புகள், தோராயமாக IKE SA-க்கு proposals = aes256-sha256-modp2048 மற்றும் CHILD SA-க்கு தனி ESP பட்டியல். தோல்வியடைந்த பரிமாற்றத்திற்குப் பொருந்தும் பட்டியலை மாற்றி, பின்னர் திருத்தம் வேலைசெய்தது எனக் கருதாமல் பதிவை மீண்டும் படியுங்கள்.

CHILD SA-க்கு தொடர்புடைய அமைப்பு ESP முன்மொழிவுப் பட்டியல், IKE பட்டியல் அல்ல. அதில் IKE வரியை நகலெடுப்பது பாகுபடுத்தப்படும் ஆனால் தவறான பொருளைப் பேச்சுவார்த்தை செய்யும் உள்ளமைவை உருவாக்குகிறது.

வேலைசெய்யும் சுரங்கப்பாதை விசை புதுப்பித்தலில் தோல்வியடைகிறது

சுரங்கப்பாதை ஒரு மணி நேரம் இயங்கி பின்னர் தோல்வியடைந்தால், ஆரம்ப பேச்சுவார்த்தை சிக்கல் அல்ல. விசை புதுப்பித்தல் மற்ற நிபந்தனைகளைச் சோதிக்கலாம்: முதல் பரிமாற்றத்திற்குப் பின் வேறு விசைப் பரிமாற்றக் குழு, சகர்களிடையே ஆயுட்காலப் பொருந்தாமை, அல்லது மாற்றப்பட்ட பதிலளிப்பு கொள்கை. இரு பக்கங்களிலிருந்தும் புதுப்பித்தல் நேரமுத்திரையும் சங்க அடையாளங்களையும் வைத்திருங்கள். அந்த முறைக்கு புதுப்பித்தலில் முன்மொழிவு ஒப்பீடு தேவை, நீண்ட நேர வரம்பு அல்ல. நேர வரம்பை மாற்றுவது அறிகுறியை மறைத்து பொருந்தாமையை அதே இடத்தில் விடுகிறது.

ipsec statusall ஒவ்வொரு சங்கத்தையும் உண்மையில் பேச்சுவார்த்தை செய்யப்பட்ட அல்காரிதங்களையும் காட்டுகிறது. அந்த வெளியீடு எந்தப் பட்டியல் பயன்படுத்தப்பட்டது என்பதை உறுதிசெய்யும் வேகமான வழி, மேலும் உள்ளமைவுப் பிழையை மீண்டும் பேச்சுவார்த்தை செய்யப்படாத பழைய சுரங்கப்பாதையிலிருந்து பிரிக்கிறது.

ipsec statusall | grep -E "IKE:|ESP:"

ஒரு வெட்டுவெளியைத் தேர்ந்தெடுத்து, பின்னர் இரு கட்டங்களையும் உறுதிசெய்யுங்கள்

நிர்வாகி இரு சகர்களும் ஆதரிக்கும் ஆவணப்படுத்தப்பட்ட நவீன வெட்டுவெளியைத் தேர்ந்தெடுத்து எழுதச் சொல்லுங்கள். அனைத்து பழைய அல்காரிதங்களையும் இயக்கி அல்லது அடையாளச் சரிபார்ப்பை முடக்கி பிழையைத் தீர்க்க வேண்டாம், ஏனெனில் இரண்டும் நிராகரிப்பிலிருந்து வராது. மாற்றத்திற்குப் பின் புதிய இணைப்பை நிறுவி, பின்னர் விசை புதுப்பித்தலை கட்டாயப்படுத்துங்கள். முதல் இணைப்பு மட்டும் புதுப்பித்தல் பாதை வேலைசெய்கிறது என்பதை நிரூபிக்காது.

ஏற்றுக்கொள்ளப்பட்ட கலவையை ஃபார்ம்வேர் பதிப்புகளுடன் வைத்திருங்கள். அடுத்த பிழை போக்குவரத்து தேர்விகளைப் பற்றியதாக இருந்தால், தனியாகக் கையாளுங்கள், ஏனெனில் கிரிப்டோகிராஃபி பற்றிய ஒப்பந்தம் சுரங்கப்பாதை எந்த துணை வலையங்களைப் பாதுகாக்கிறது என்பதைப் பற்றி எதுவும் கூறாது. strongSwan-இன் முன்மொழிவு ஆவணம் இரு பட்டியல்களின் இலக்கணத்தையும் உள்ளடக்குகிறது.