Windows మరియు strongSwan సైఫర్లు: సరైన పొరను సరిపోల్చండి

రెండు చివరలు AES-128 అని చెబుతున్నాయి, సొరంగం ఇంకా నిర్మించబడటానికి నిరాకరిస్తోంది. CBC మరియు GCM అనేవి అనుకోకుండా ఒకే కీ పొడవును పంచుకునే వేర్వేరు మార్పులు, ఒకదాన్ని అందించే క్లయింట్ మరొకదాన్ని మాత్రమే అంగీకరించే గేట్వేను సంతృప్తిపరచదు. AES అనే పదం ఒక కుటుంబాన్ని వివరిస్తుంది, ఒప్పందాన్ని కాదు.

రెండవ అక్షం కూడా ఉంది, గందరగోళపు లోపాలను సృష్టించేది అదే.

రెండు పొరలు, రెండు స్వతంత్ర జాబితాలు

IKE చర్చను స్వయంగా రక్షిస్తుంది, అయితే చైల్డ్ అసోసియేషన్ మీకు నిజంగా ముఖ్యమైన ట్రాఫిక్ను రక్షిస్తుంది. Windows మొదటిదాన్ని ఎన్క్రిప్షన్ పద్ధతి మరియు సమగ్రత పద్ధతిగా, రెండవదాన్ని సైఫర్ మరియు ప్రామాణీకరణ మార్పు స్థిరాంకాలుగా చూపుతుంది. ఆ ఫీల్డ్లు ఒకదానికొకటి పర్యాయపదాలు కావు, ఒకదానిలో చెల్లుబాటు అయ్యే విలువ మరొకదానిలో అర్థరహితం లేదా తప్పుగా ఉండవచ్చు. ఈ విభజనను గుర్తుంచుకుని ప్రొఫైల్ను చదవడం చాలా గందరగోళాన్ని తొలగిస్తుంది.

ఆచరణాత్మక పరిణామం ఏమిటంటే, పూర్తిగా ఆమోదయోగ్యమైన కీ మార్పిడి విధానం మరియు సహచరుడు అంగీకరించని డేటా ఛానెల్ విధానం మీకు ఉండవచ్చు. ఒక జాబితా చర్చలు చేస్తుంది; మరొకటి ప్యాకెట్లను రక్షిస్తుంది. కాన్ఫిగరేషన్ సంభాషణలో రెండూ ఎంత పోలి ఉన్నా, మొదటిదానిలో విలువ మార్చడం రెండవదాన్ని ప్రభావితం చేయదు.

గేట్వేతో పోల్చే ముందు రెండు జాబితాలను రాయండి. జ్ఞాపకం నుండి చేసే పోలిక అంటే ఒక ఫీల్డ్ రెండుసార్లు సవరించబడటం మరియు మరొకటి ఎప్పుడూ సవరించబడకపోవడం. ప్రొఫైల్ పక్కన గేట్వే కన్సోల్ను తెరిచి ఉంచండి.

లోపాన్ని ప్రతిపాదనల పక్కన చదవండి

విఫలమైన దశ ఏ జాబితాను పరిశీలించాలో చెబుతుంది. ప్రారంభ కీ మార్పిడి సమయంలో నిరాకరణ IKE ప్రతిపాదన సమస్య, మరియు ఏదైనా చైల్డ్ అసోసియేషన్ ఉనికిలోకి రాకముందే అది సంభవిస్తుంది. రక్షిత ట్రాఫిక్ అసోసియేషన్ చర్చించబడుతున్నప్పుడు వైఫల్యం ESP ప్రతిపాదన సమస్య, మరియు కీ మార్పిడి ఇప్పటికే విజయవంతమైంది. క్లయింట్ యొక్క సాధారణ విధాన సరిపోలిక సందేశం రెండు దశలలో దేనినీ పేర్కొనదు, అందుకే గేట్వే యొక్క స్వంత దృశ్యమే ఉపయోగకరం.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 60 --no-pager

స్వీకరించిన ప్రతిపాదన, కాన్ఫిగర్ చేసిన ప్రతిపాదన మరియు ఎంచుకున్న ప్రతిపాదనను పోల్చండి ఆ ఒకే ప్రయత్నం కోసం. ఇక్కడ మూడు వేర్వేరు జాబితాలు ముఖ్యం, నిజంగా ఏమి ఉపయోగించబడిందో చివరిది మాత్రమే వివరిస్తుంది. సారాంశం చేయడానికి బదులు టికెట్లో దాన్ని పదానికి పదం ఉదాహరించండి.

CBC మరియు GCM లను వేర్వేరు ప్రత్యామ్నాయాలుగా ఉంచండి

ఏ కుటుంబాన్నైనా అంగీకరించడానికి ఉద్దేశపూర్వకంగా అనుమతి ఉన్న గేట్వేకు ఒకటి కాదు, రెండు ప్రతిపాదనలు అవసరం. strongSwan లో కామా ప్రత్యామ్నాయాలను వేరు చేస్తుంది, హైఫన్ ఒక సెట్ యొక్క భాగాలను కలుపుతుంది. రెండు కుటుంబాలను హైఫన్లతో కలిపితే రెండు ఆమోదయోగ్యమైన ప్రతిపాదనలకు బదులు ఒక అసాధ్యమైన ప్రతిపాదన ఏర్పడుతుంది.

proposals = aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256
esp_proposals = aes128gcm16-ecp256

మొదటి ప్రత్యామ్నాయం ప్రామాణీకృత ఎన్క్రిప్షన్ను కలిగి ఉంటుంది మరియు ఇప్పటికీ సూడో-యాదృచ్ఛిక ఫంక్షన్ను పేర్కొంటుంది, ఎందుకంటే సమగ్రత సైఫర్ నుండి వచ్చినా కీ ఉత్పాదనకు ఒకటి అవసరం. రెండవ ప్రత్యామ్నాయం వేరే సమగ్రత అల్గారిథమ్తో కూడిన సాంప్రదాయ ఎన్క్రిప్షన్. రెండూ లోడ్ చేయబడిన క్రిప్టో అమలు ఏమి మద్దతు ఇస్తుందో దానిపై ఆధారపడతాయి.

ESP ప్రతిపాదన పునఃనామకరణ చేయబడిన IKE ప్రతిపాదన కాదు

సైఫర్ టోకెన్ రెండు జాబితాలలో ఒకేలా కనిపిస్తుంది, మరేదీ దాదాపు బదిలీ కాదు. ESP ప్రతిపాదనలో కీ మార్పిడి సూడో-యాదృచ్ఛిక ఫంక్షన్ లేదు, మరియు దాని సమగ్రత మరియు ముందుకు రహస్యత్వ అవసరాలు IKE లైన్ నుండి కాపీ చేయడానికి బదులు మరొక వైపు Windows విధానానికి వ్యతిరేకంగా వాదించబడతాయి. ఒక జాబితాను మరొకదానిలోకి యాంత్రికంగా అనువదించడం ధృవీకరణ పొంది ఎప్పుడూ చర్చలు చేయని దాన్ని సృష్టిస్తుంది.

ఒక దిశను ఎంచుకుని అందులో ఉండండి. గేట్వే GCM-మాత్రమే విధానాన్ని ఉంచి క్లయింట్ పూర్తి సరిపోయే విధానాన్ని అమలు చేయాలి, లేదా గేట్వే రెండు కుటుంబాలను అంగీకరించి క్లయింట్ తన ప్రస్తుత సెట్ను ఉంచుకోవాలి. భద్రతా విధానం నిషేధించే ఫాల్బ్యాక్ను ప్రారంభించడం లోపాన్ని ఎంత త్వరగా తొలగించినా పరిష్కారం కాదు.

రెండు సెట్లను ధృవీకరించండి, తర్వాత కీ పునరుద్ధరణ

ఎంచుకున్న కీ మార్పిడి సెట్ మరియు ఎంచుకున్న ట్రాఫిక్ సెట్ను విడివిడిగా నిర్ధారించండి, ఎందుకంటే అవి వేర్వేరు జాబితాల నుండి వస్తాయి మరియు స్వతంత్రంగా విజయవంతం కావచ్చు. తర్వాత కీ పునరుద్ధరణ జరగనివ్వండి మరియు దాన్ని కూడా నిర్ధారించండి. పనిచేసే మొదటి హ్యాండ్షేక్ మరియు విఫలమయ్యే కీ పునరుద్ధరణ పాక్షికంగా మాత్రమే ఆమోదయోగ్యమైన ప్రతిపాదనల సెట్ను వివరిస్తాయి.

ఆ సాక్ష్యాన్ని మార్పుతో పాటు ఉంచండి. పునరావృత కనెక్షన్ తెగుటకు, ఎవరైనా టైమర్ లేదా ప్లాట్ఫారమ్ లోపాన్ని నిందించే ముందు దాని స్వంత విఫల-మార్పిడి రికార్డు అవసరం.