Windows మరియు strongSwan: IKE ప్రతిపాదనలో నాలుగు రూపాంతరాలను సరిపోల్చడం
కీ మార్పిడి సమూహంపై రెండు వైపులా ఏకీభావం లేకపోతే ఉమ్మడి సైఫర్ సరిపోదు. నాలుగు రూపాంతరాలను పోల్చి, తర్వాత ఒక పరిమిత ప్రొఫైల్ విధానాన్ని వర్తించండి.
రెండు వైపులా AES కి మద్దతు ఇస్తాయి, రెండూ SHA-256 ను అంగీకరిస్తాయి, అయినా సొరంగం పైకి రాదు. ఎవరూ పోల్చని ఒక భాగంలో ప్రతిపాదన విఫలమైంది, సాధారణంగా కీ మార్పిడి సమూహంలో. ఈ మార్గదర్శిని ఏదైనా మార్చకముందే నిజమైన మార్పిడిని చదువుతుంది, ఒక పరిమిత విధానాన్ని వర్తిస్తుంది మరియు మునుపటి పరామితులను పునరుద్ధరించే వెనుకకు మళ్లింపును వదిలివేస్తుంది.
సమూహాన్ని మార్చే ముందు వైఫల్యాన్ని చదవండి
«విధాన సరిపోలిక లోపం» అనేది సారాంశం, నిర్ధారణ కాదు. పరస్పరం ఆమోదయోగ్యమైన ప్రతిపాదన కనుగొనబడలేదని అర్థం, ఏ భాగం తిరస్కరించబడిందో దాని గురించి ఏమీ చెప్పదు. ఇది ఒక నిర్దిష్ట సమూహం గురించిన రుజువుగా కాకుండా దర్యాప్తు ప్రారంభంగా పరిగణించండి.
సమాధానం సాధారణంగా సర్వర్ వైపు ఉంటుంది. సరైన స్థాయిలోని strongSwan లాగ్ క్లయింట్ నుండి పొందిన ప్రతిపాదనను మరియు అంగీకరించడానికి కాన్ఫిగర్ చేయబడిన ప్రతిపాదనను జాబితా చేస్తుంది, రెండు జాబితాల మధ్య వ్యత్యాసం విఫలమైన భాగాన్ని పేర్కొంటుంది.
పాత ఫోరమ్ పోస్ట్ చెప్పేది క్లయింట్ అందిస్తుందని భావించకండి. క్రియాశీల ప్రొఫైల్ మరియు దానిలో ఇన్స్టాల్ చేసిన విధానం అందించే జాబితాను నిర్ణయిస్తాయి, నవీకరించిన Windows బిల్డ్ మీరు కాపీ చేస్తున్న స్క్రీన్షాట్లో ఉన్నదానికి భిన్నమైన సెట్ను అందించవచ్చు.
రెండు జాబితాలను రాసుకోండి. నాలుగు రూపాంతర స్థానాలు మరియు ఒక సమూహం చిన్న జాబితా, దాన్ని పంక్తి పంక్తిగా పోల్చడం ఏ ప్రయోగం కంటే తక్కువ సమయం తీసుకుంటుంది. నాలుగు స్థానాలను కంటికి ఎదురుగా ఉంచుకోవడం సులభం. లాగ్ ఫైల్ను కాదు.
ఒక తెలిసిన పేరును కాదు, ప్రతి రూపాంతరాన్ని పోల్చండి
IKE ప్రతిపాదన అనేది అన్నీ సరిపోలాల్సిన ఎంపికల సముదాయం. గూఢీకరణ చర్చలను రక్షిస్తుంది, సమగ్రత లేదా PRF దాన్ని ధృవీకరిస్తుంది, Diffie-Hellman సమూహం కొత్త కీ పదార్థాన్ని స్థాపిస్తుంది. మొదటి రెండింటిలో సరిపోలి మూడవదానిలో భిన్నమయ్యే ప్రతిపాదన రెండు వైపులకూ ఇప్పటికీ ఆమోదయోగ్యం కాదు.
ఇక్కడ గందరగోళానికి గురయ్యే రెండు Windows ఫీల్డ్లు వేర్వేరు దశలకు చెందినవి. DHGroup IKE కీ మార్పిడికి వర్తిస్తుంది, PfsGroup ట్రాఫిక్ను రక్షించే చైల్డ్ అసోసియేషన్కు వర్తిస్తుంది. రెండవదాన్ని మార్చడం మొదటిదానిలోని వైఫల్యాన్ని సరిచేయలేదు.
సమూహాల పేర్లు అమలుల మధ్య భిన్నంగా ఉంటాయి, అది ప్రత్యేక గందరగోళ మూలం. strongSwan modp2048 మరియు ecp256 అని రాస్తుంది, Windows Group14 మరియు ECP256 వంటి గణన పేర్లను ఉపయోగిస్తుంది, కాబట్టి పోల్చే ముందు అనువదించాలి. రెండు పేర్లతో రెండు నిలువు వరుసల గమనికను ఉంచుకోండి. అప్పుడు తదుపరి భేదం సెకన్లలో వర్గీకరించబడుతుంది.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
ఒక పూర్తి మరియు పరిమిత విధానాన్ని వర్తించండి
స్థానిక IKEv2 ప్రొఫైల్ కోసం మద్దతు ఉన్న సాధనం కనెక్షన్కు ఒక IPsec విధానం, ఇది ఫీల్డ్ వారీగా కాకుండా ఒక వస్తువుగా సెట్ చేయబడుతుంది. మొదట మునుజూపు చూడండి, తర్వాత వర్తించండి, మునుపటి పరామితులను మార్పు రికార్డులో ఉంచండి.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf స్విచ్ స్థానిక మార్పును మునుజూపుగా చూపిస్తుంది, ఏమీ వర్తించదు. అది ఉపయోగకరం మరియు అదే సమయంలో సాధారణ ఉచ్చు, ఎందుకంటే మునుజూపు పరామితులు స్థానిక cmdlet కి వ్యాకరణపరంగా ఆమోదయోగ్యమని మాత్రమే నిరూపిస్తుంది. గేట్వే ఫలిత ప్రతిపాదనను అంగీకరిస్తుందో లేదో అది చెప్పదు.
అక్కడే ఉండగానే పరిధిని కూడా సరిపోల్చండి. అందరు వినియోగదారుల నిల్వలోని కనెక్షన్కు సంబంధిత అందరు-వినియోగదారు పరామితి అవసరం, అదే ప్రదర్శన పేరుతో ప్రతి-వినియోగదారు ప్రొఫైల్ను సవరించడం సొరంగం ఉపయోగించని మరో వస్తువును మారుస్తుంది.
తర్వాత పరీక్షకు ముందు strongSwan వైపును అదే సెట్కు తీసుకురండి. రెండు చివరలా సమన్వయ మార్పే ఇందులో కలుస్తుంది, ఒక వైపు మార్చి పదే పదే మళ్లీ ప్రయత్నించడం అదే తిరస్కరణతో నిండిన లాగ్ను ఇస్తుంది.
మార్పిడిని మరియు కీ పునరుద్ధరణను విడివిడిగా ధృవీకరించండి
విజయవంతమైన కనెక్షన్ ఒక పరిశీలన, కీ పునరుద్ధరణ మరొకటి. ప్రారంభ IKE చర్చలు ఒక పరామితి సెట్ను ఉపయోగిస్తాయి, ట్రాఫిక్ను మోసే చైల్డ్ అసోసియేషన్ తర్వాత తన స్వంత విధానంతో మళ్లీ చర్చించబడవచ్చు. కనెక్ట్ అయి కొంతసేపటికి పడిపోయే సెటప్ సాధారణంగా రెండవ కేసు.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *మొదటి ఆదేశం స్థాపించిన అసోసియేషన్లపై సర్వర్ దృష్టిని చూపిస్తుంది, చైల్డ్ SA మరియు దాని మిగిలిన ఆయుష్షుతో సహా. రెండవది క్లయింట్ ప్రొఫైల్ ఇప్పుడు ఏమి కలిగి ఉందో చూపిస్తుంది, మీరు సెట్ చేసిన విధానమే అమలులో ఉన్న విధానమని నిర్ధారించడానికి అదే ఏకైక మార్గం.
విజయాన్ని ప్రకటించే ముందు పూర్తి కీ పునరుద్ధరణను గమనించండి. అంటే చైల్డ్ అసోసియేషన్ భర్తీ అయ్యేంత సేపు కనెక్షన్ను పైకి ఉంచి, తర్వాత ట్రాఫిక్ కొనసాగుతుందని నిర్ధారించడం. చాలా విధాన భేదాలు అదే దశలో దాక్కుంటాయి, ఎందుకంటే ప్రారంభ చర్చలు పునరుద్ధరణ అంగీకరించని సెట్తో కూడా విజయవంతం కావచ్చు.
వెనుకకు మళ్లింపు అంటే మునుపటి పరామితి సెట్, సడలింపు ప్రత్యామ్నాయం కాదు. క్లయింట్ బలహీనమైన పాత సమూహాన్ని మాత్రమే అందించినట్లయితే, సమాధానం క్లయింట్ మరియు సర్వర్ ఉమ్మడి విధానాన్ని మెరుగుపరచడం, ఆ సమూహాన్ని గేట్వేకు జోడించడం కాదు, అక్కడ భవిష్యత్తు ప్రతి వైపు దాని వైపు క్రిందకు చర్చించగలదు.
నాలుగు పరామితులు, సమూహం, కనెక్షన్ పరిధి మరియు కీ పునరుద్ధరణ ఫలితాన్ని నమోదు చేయండి. ఇది చిన్న గమనిక, మార్గదర్శిని మరియు సొరంగం ఒకసారి పైకి వచ్చిన కథ మధ్య వ్యత్యాసం అదే.