Windows மற்றும் strongSwan: IKE முன்மொழிவில் நான்கு மாற்றங்களைப் பொருத்துதல்
சாவி பரிமாற்றக் குழுவில் இரு தரப்பும் ஒத்துப்போகாதபோது பொதுவான மறையாக்கம் போதாது. நான்கு மாற்றங்களையும் ஒப்பிட்டு, பின்னர் ஒரு வரம்புக்குட்பட்ட சுயவிவரக் கொள்கையைப் பயன்படுத்துங்கள்.
இரு தரப்பும் AES-ஐ ஆதரிக்கின்றன, இரண்டும் SHA-256-ஐ ஏற்கின்றன, இருந்தும் சுரங்கப்பாதை மேலெழவில்லை. யாரும் ஒப்பிடாத ஒரு கூறில் முன்மொழிவு தோல்வியடைந்தது, பொதுவாக சாவி பரிமாற்றக் குழுவில். இந்த வழிகாட்டி எதையும் மாற்றுவதற்கு முன் உண்மையான பரிமாற்றத்தைப் படிக்கிறது, ஒரு வரம்புக்குட்பட்ட கொள்கையைப் பயன்படுத்துகிறது, மேலும் முந்தைய அளவுருக்களை மீட்டெடுக்கும் பின்னடைவை விட்டுச் செல்கிறது.
ஒரு குழுவை மாற்றுவதற்கு முன் தோல்வியைப் படியுங்கள்
«கொள்கை பொருத்தப் பிழை» என்பது சுருக்கம், நோயறிதல் அல்ல. இருவரும் ஏற்கக்கூடிய முன்மொழிவு எதுவும் கிடைக்கவில்லை என்று பொருள், எந்தக் கூறு நிராகரிக்கப்பட்டது என்பதைப் பற்றி எதுவும் கூறவில்லை. ஒரு குறிப்பிட்ட குழுவைப் பற்றிய சான்றாக அல்ல, விசாரணையின் தொடக்கமாகக் கருதுங்கள்.
பதில் பொதுவாக சேவையகப் பக்கத்தில் இருக்கும். பொருத்தமான மட்டத்தில் உள்ள strongSwan பதிவு வாடிக்கையாளரிடமிருந்து பெற்ற முன்மொழிவையும் ஏற்க வடிவமைக்கப்பட்ட முன்மொழிவையும் பட்டியலிடுகிறது, இரு பட்டியல்களுக்கு இடையிலான வேறுபாடு தோல்வியடைந்த கூற்றைப் பெயரிடுகிறது.
பழைய மன்றப் பதிவு சொல்வதை வாடிக்கையாளர் வழங்குகிறது எனக் கருத வேண்டாம். செயலில் உள்ள சுயவிவரமும் அதில் நிறுவப்பட்ட கொள்கையும் வழங்கப்படும் பட்டியலைத் தீர்மானிக்கின்றன, புதுப்பிக்கப்பட்ட Windows பதிப்பு நீங்கள் நகலெடுக்கும் திரைப்பிடிப்பில் உள்ளதை விட வேறுபட்ட தொகுப்பை வழங்கலாம்.
இரு பட்டியல்களையும் எழுதி வையுங்கள். நான்கு மாற்ற நிலைகளும் ஒரு குழுவும் குறுகிய பட்டியல், அதை வரி வரியாக ஒப்பிடுவது எந்தச் சோதனையையும் விடக் குறைந்த நேரம் எடுக்கும். நான்கு நிலைகளைக் கண்ணில் வைத்திருப்பது எளிது. பதிவுக் கோப்பை அல்ல.
ஒரு பரிச்சயமான பெயரை அல்ல, ஒவ்வொரு மாற்றத்தையும் ஒப்பிடுங்கள்
IKE முன்மொழிவு என்பது அனைத்தும் பொருந்த வேண்டிய தேர்வுகளின் தொகுப்பு. மறையாக்கம் பேச்சுவார்த்தையைப் பாதுகாக்கிறது, ஒருமைப்பாடு அல்லது PRF அதை உறுதிப்படுத்துகிறது, Diffie-Hellman குழு புதிய சாவிப் பொருளை நிறுவுகிறது. முதல் இரண்டில் பொருந்தி மூன்றில் வேறுபடும் முன்மொழிவு இரு தரப்பிற்கும் இன்னும் ஏற்கத்தகாதது.
இங்கு குழப்பப்படும் இரு Windows புலங்கள் வெவ்வேறு கட்டங்களைச் சேர்ந்தவை. DHGroup IKE சாவி பரிமாற்றத்திற்குப் பொருந்தும், PfsGroup போக்குவரத்தைப் பாதுகாக்கும் குழந்தைச் சங்கத்திற்குப் பொருந்தும். இரண்டாவதை மாற்றுவது முதலில் உள்ள தோல்வியைச் சரிசெய்யாது.
குழுப் பெயர்கள் செயலாக்கங்களுக்கு இடையே வேறுபடுகின்றன, அது தனி குழப்ப மூலம். strongSwan modp2048 மற்றும் ecp256 என எழுதுகிறது, Windows Group14 மற்றும் ECP256 போன்ற எண்ணிக்கைப் பெயர்களைப் பயன்படுத்துகிறது, எனவே ஒப்பிடுவதற்கு முன் மொழிபெயர்க்க வேண்டும். இரு பெயர்களையும் கொண்ட இரு நிரல் குறிப்பை வைத்திருங்கள். அப்போது அடுத்த வேறுபாடு நொடிகளில் வகைப்படுத்தப்படும்.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
ஒரு முழுமையான மற்றும் வரம்புக்குட்பட்ட கொள்கையைப் பயன்படுத்துங்கள்
இயல்பான IKEv2 சுயவிவரத்திற்கு ஆதரவளிக்கப்படும் கருவி இணைப்புக்கு ஒரு IPsec கொள்கை, அது புலம் புலமாக அல்ல, ஒரு பொருளாக அமைக்கப்படுகிறது. முதலில் முன்னோட்டம் பாருங்கள், பின்னர் பயன்படுத்துங்கள், முந்தைய அளவுருக்களை மாற்றப் பதிவில் வைத்திருங்கள்.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf சுவிட்ச் உள்ளூர் மாற்றத்தை முன்னோட்டமாகக் காட்டுகிறது, எதையும் பயன்படுத்தாது. அது பயனுள்ளதும் அதே நேரத்தில் பொதுவான பொறியுமாகும், ஏனெனில் முன்னோட்டம் அளவுருக்கள் உள்ளூர் cmdlet-க்கு இலக்கணப்படி ஏற்கத்தக்கவை என்பதை மட்டுமே நிரூபிக்கிறது. நுழைவாயில் அதன் விளைவு முன்மொழிவை ஏற்குமா என்பதை அது கூறவில்லை.
அங்கேயே இருந்தபடி வரம்பையும் பொருத்துங்கள். அனைத்து பயனர்களின் சேமிப்பில் உள்ள இணைப்புக்கு தொடர்புடைய அனைத்து-பயனர் அளவுரு தேவை, ஒரே காட்சிப் பெயருடன் பயனர் வாரியான சுயவிவரத்தைத் திருத்துவது சுரங்கப்பாதை பயன்படுத்தாத மற்றொரு பொருளை மாற்றுகிறது.
பின்னர் சோதனைக்கு முன் strongSwan பக்கத்தை அதே தொகுப்புக்குக் கொண்டு வாருங்கள். இரு முனைகளிலும் ஒருங்கிணைந்த மாற்றமே இதன் ஒருமுகமாகும் ஒரே பதிப்பு; ஒரு பக்கத்தை மாற்றி மீண்டும் மீண்டும் முயல்வது அதே நிராகரிப்பால் நிரம்பிய பதிவை உருவாக்கும்.
பரிமாற்றத்தையும் சாவி புதுப்பித்தலையும் தனித்தனியாகச் சரிபார்க்கவும்
வெற்றிகரமான இணைப்பு ஒரு கவனிப்பு, சாவி புதுப்பித்தல் மற்றொன்று. ஆரம்ப IKE பேச்சுவார்த்தை ஒரு அளவுருத் தொகுப்பைப் பயன்படுத்துகிறது, போக்குவரத்தைச் சுமக்கும் குழந்தைச் சங்கம் பின்னர் அதன் சொந்தக் கொள்கையுடன் மீண்டும் பேச்சுவார்த்தை செய்யப்படலாம். இணைந்து சிறிது நேரத்திற்குப் பின் விழும் அமைப்பு பொதுவாக இரண்டாவது நிகழ்வு.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *முதல் கட்டளை நிறுவப்பட்ட சங்கங்கள் பற்றிய சேவையகத்தின் பார்வையைக் காட்டுகிறது, குழந்தை SA மற்றும் அதன் மீதமுள்ள ஆயுளும் அடங்கும். இரண்டாவது வாடிக்கையாளர் சுயவிவரம் இப்போது என்ன வைத்திருக்கிறது என்பதைக் காட்டுகிறது, நீங்கள் அமைத்த கொள்கையே நடைமுறையில் உள்ள கொள்கை என்பதை உறுதிப்படுத்தும் ஒரே வழி அதுவே.
வெற்றியை அறிவிப்பதற்கு முன் முழுமையான சாவி புதுப்பித்தலைக் கவனியுங்கள். அதாவது குழந்தைச் சங்கம் மாற்றப்படும் அளவுக்கு இணைப்பை மேலே வைத்திருந்து, பின்னர் போக்குவரத்து தொடர்கிறது என்பதை உறுதிப்படுத்துவது. பெரும்பாலான கொள்கை வேறுபாடுகள் அந்தப் படியில் மறைகின்றன, ஏனெனில் ஆரம்ப பேச்சுவார்த்தை புதுப்பித்தல் ஏற்காத தொகுப்புடனும் வெற்றியடையலாம்.
பின்னடைவு என்பது முந்தைய அளவுருத் தொகுப்பு, தளர்வான மாற்று அல்ல. வாடிக்கையாளர் பலவீனமான பழைய குழுவை மட்டும் வழங்கியிருந்தால், பதில் வாடிக்கையாளர் மற்றும் சேவையகத்தின் பொதுக் கொள்கையை மேம்படுத்துவதே, அந்தக் குழுவை நுழைவாயிலில் சேர்ப்பது அல்ல, அங்கு எதிர்கால ஒவ்வொரு தரப்பும் அதை நோக்கிக் கீழே பேச்சுவார்த்தை செய்ய முடியும்.
நான்கு அளவுருக்கள், குழு, இணைப்பின் வரம்பு மற்றும் சாவி புதுப்பித்தலின் முடிவைப் பதிவு செய்யுங்கள். இது ஒரு குறுகிய குறிப்பு, வழிகாட்டிக்கும் சுரங்கப்பாதை ஒருமுறை மேலெழுந்த கதைக்கும் இடையிலான வேறுபாடு அதுவே.