Windows மற்றும் strongSwan சைஃபர்கள்: சரியான அடுக்கைப் பொருத்துங்கள்

இரு முனைகளும் AES-128 என்று கூறுகின்றன, இருப்பினும் சுரங்கப்பாதை உருவாக மறுக்கிறது. CBC மற்றும் GCM ஆகியவை தற்செயலாக ஒரே விசை நீளத்தைப் பகிர்ந்து கொள்ளும் வெவ்வேறு மாற்றங்கள், ஒன்றை வழங்கும் வாடிக்கையாளர் மற்றொன்றை மட்டும் ஏற்கும் நுழைவாயிலை திருப்திப்படுத்தாது. AES என்ற சொல் ஒரு குடும்பத்தை விவரிக்கிறது, ஒப்பந்தத்தை அல்ல.

இரண்டாவது அச்சும் உள்ளது, குழப்பமான பிழைகளை உருவாக்குவது அதுவே.

இரண்டு அடுக்குகள், இரண்டு சுயாதீன பட்டியல்கள்

IKE பேச்சுவார்த்தையையே பாதுகாக்கிறது, அதேநேரம் குழந்தை இணைப்பு உண்மையில் உங்களுக்கு முக்கியமான போக்குவரத்தைப் பாதுகாக்கிறது. Windows முதலாவதை மறையாக்க முறை மற்றும் ஒருமைப்பாட்டு முறையாகவும், இரண்டாவதை சைஃபர் மற்றும் அங்கீகார மாற்ற மாறிலிகளாகவும் வெளிப்படுத்துகிறது. அந்த புலங்கள் ஒன்றுக்கொன்று மாற்றுப்பெயர்கள் அல்ல, ஒன்றில் செல்லுபடியாகும் மதிப்பு மற்றொன்றில் அர்த்தமற்றதாகவோ தவறாகவோ இருக்கலாம். இந்தப் பிரிவை மனதில் வைத்து சுயவிவரத்தைப் படிப்பது பெரும்பாலான குழப்பத்தை நீக்குகிறது.

நடைமுறை விளைவு என்னவென்றால், முற்றிலும் ஏற்கத்தக்க விசைப் பரிமாற்றக் கொள்கையும், சகன் ஏற்காத தரவு சேனல் கொள்கையும் உங்களிடம் இருக்கலாம். ஒரு பட்டியல் பேச்சுவார்த்தை நடத்துகிறது; மற்றொன்று பொதிகளைப் பாதுகாக்கிறது. உள்ளமைவு உரையாடலில் இரண்டும் எவ்வளவு ஒத்திருந்தாலும், முதலில் மதிப்பை மாற்றுவது இரண்டாவதைப் பாதிக்காது.

நுழைவாயிலுடன் ஒப்பிடுவதற்கு முன் இரண்டு பட்டியல்களையும் எழுதுங்கள். நினைவிலிருந்து செய்யும் ஒப்பீடு என்பது ஒரு புலம் இரண்டு முறை திருத்தப்பட்டு மற்றொன்று ஒருபோதும் திருத்தப்படாதிருக்கும் முறையாகும். சுயவிவரத்திற்கு அருகில் நுழைவாயில் பணியகத்தைத் திறந்து வையுங்கள்.

பிழையை முன்மொழிவுகளுக்கு அருகில் படியுங்கள்

தோல்வியடைந்த நிலை எந்தப் பட்டியலை ஆராய வேண்டும் என்று சொல்கிறது. ஆரம்ப விசைப் பரிமாற்றத்தின் போது மறுப்பு என்பது IKE முன்மொழிவு சிக்கல், மேலும் எந்தக் குழந்தை இணைப்பும் இருப்பதற்கு முன்பே அது நிகழ்கிறது. பாதுகாக்கப்பட்ட போக்குவரத்து இணைப்பு பேச்சுவார்த்தை நடத்தப்படும்போது ஏற்படும் தோல்வி ESP முன்மொழிவு சிக்கல், விசைப் பரிமாற்றம் ஏற்கனவே வெற்றியடைந்துவிட்டது. வாடிக்கையாளரின் பொதுவான கொள்கைப் பொருத்தச் செய்தி இரண்டு நிலைகளில் ஒன்றையும் பெயரிடவில்லை, எனவே நுழைவாயிலின் சொந்தப் பார்வையே பயனுள்ளது.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

பெறப்பட்ட முன்மொழிவு, உள்ளமைக்கப்பட்ட முன்மொழிவு மற்றும் தேர்ந்தெடுக்கப்பட்ட முன்மொழிவை ஒப்பிடுங்கள் அந்த ஒரு முயற்சிக்காக. இங்கே மூன்று வெவ்வேறு பட்டியல்கள் முக்கியம், உண்மையில் எது பயன்படுத்தப்பட்டது என்பதைக் கடைசியானது மட்டுமே விவரிக்கிறது. சுருக்குவதற்குப் பதிலாக டிக்கெட்டில் அதை வார்த்தைக்கு வார்த்தை மேற்கோள் காட்டுங்கள்.

CBC மற்றும் GCM-ஐ தனித்தனி மாற்றுகளாக வையுங்கள்

எந்தக் குடும்பத்தையும் ஏற்க வேண்டுமென்றே அனுமதிக்கப்பட்ட நுழைவாயிலுக்கு ஒன்று அல்ல, இரண்டு முன்மொழிவுகள் தேவை. strongSwan-இல் காற்புள்ளி மாற்றுகளைப் பிரிக்கிறது, இணைப்புக்கோடு ஒரு தொகுப்பின் கூறுகளை இணைக்கிறது. இரு குடும்பங்களையும் இணைப்புக்கோடுகளால் இணைப்பது இரண்டு ஏற்கத்தக்க முன்மொழிவுகளுக்குப் பதிலாக ஒரு சாத்தியமற்ற முன்மொழிவை உருவாக்குகிறது.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

முதல் மாற்று அங்கீகரிக்கப்பட்ட மறையாக்கத்தைக் கொண்டுள்ளது, இன்னும் ஒரு போலி-சீரற்ற சார்பைப் பெயரிடுகிறது, ஏனெனில் ஒருமைப்பாடு சைஃபரிலிருந்து வந்தாலும் விசை வழித்தோன்றலுக்கு ஒன்று தேவை. இரண்டாவது மாற்று தனி ஒருமைப்பாட்டு படிமுறையுடன் கூடிய பாரம்பரிய மறையாக்கம். இரண்டும் ஏற்றப்பட்ட குறியாக்கச் செயலாக்கம் எதை ஆதரிக்கிறது என்பதைப் பொறுத்தது.

ESP முன்மொழிவு மறுபெயரிடப்பட்ட IKE முன்மொழிவு அல்ல

சைஃபர் டோக்கன் இரு பட்டியல்களிலும் ஒரே மாதிரியாகத் தெரிகிறது, வேறு எதுவும் கிட்டத்தட்ட மாற்றப்படவில்லை. ESP முன்மொழிவுக்கு விசைப் பரிமாற்ற போலி-சீரற்ற சார்பு இல்லை, அதன் ஒருமைப்பாடு மற்றும் முன்னோக்கு இரகசியத்தன்மை தேவைகள் IKE வரியிலிருந்து நகலெடுப்பதற்குப் பதிலாக மறுபக்கத்தின் Windows கொள்கைக்கு எதிராக வாதிடப்படுகின்றன. ஒரு பட்டியலை மற்றொன்றாக இயந்திரத்தனமாக மொழிபெயர்ப்பது சரிபார்க்கப்படும் ஆனால் ஒருபோதும் பேச்சுவார்த்தை நடத்தாத ஒன்றை உருவாக்குகிறது.

ஒரு திசையைத் தேர்ந்தெடுத்து அதில் நில்லுங்கள். ஒன்று நுழைவாயில் GCM-மட்டும் கொள்கையை வைத்திருக்கும், வாடிக்கையாளர் முழுமையான இணக்கமான கொள்கையைப் பயன்படுத்துவார்; அல்லது நுழைவாயில் இரு குடும்பங்களையும் ஏற்கும், வாடிக்கையாளர் தனது தற்போதைய தொகுப்பை வைத்திருப்பார். பாதுகாப்புக் கொள்கை தடைசெய்யும் மாற்று வழியை இயக்குவது பிழையை எவ்வளவு விரைவாக அகற்றினாலும் தீர்வு அல்ல.

இரு தொகுப்புகளையும் சரிபார்த்து, பின்னர் விசை புதுப்பித்தலை

தேர்ந்தெடுக்கப்பட்ட விசைப் பரிமாற்றத் தொகுப்பையும் தேர்ந்தெடுக்கப்பட்ட போக்குவரத்துத் தொகுப்பையும் தனித்தனியாக உறுதிப்படுத்துங்கள், ஏனெனில் அவை வெவ்வேறு பட்டியல்களிலிருந்து வருகின்றன, சுயாதீனமாக வெற்றியடையலாம். பின்னர் விசை புதுப்பித்தல் நிகழ அனுமதித்து அதையும் உறுதிப்படுத்துங்கள். வேலைசெய்யும் முதல் கைகுலுக்கல் மற்றும் தோல்வியடையும் விசை புதுப்பித்தல் ஆகியவை பகுதியளவில் மட்டுமே ஏற்கத்தக்க முன்மொழிவுத் தொகுப்பை விவரிக்கின்றன.

அந்த ஆதாரத்தை மாற்றத்துடன் வைத்திருங்கள். மீண்டும் மீண்டும் ஏற்படும் இணைப்புத் துண்டிப்புக்கு, யாராவது நேரங்காட்டி அல்லது தளக் குறையைக் குற்றம் சொல்வதற்கு முன் அதன் சொந்த தோல்வியடைந்த பரிமாற்றப் பதிவு தேவை.