Windows ve strongSwan: IKE teklifindeki dört dönüşümü eşleştirmek
Eşler anahtar değişimi grubunda anlaşamadığında ortak bir şifreleme yeterli değildir. Dört dönüşümün tümünü karşılaştırın, ardından tek bir kapsamlı profil ilkesi uygulayın.
Her iki eş de AES'i destekliyor, ikisi de SHA-256'yı kabul ediyor ve tünel yine de açılmıyor. Teklif, kimsenin karşılaştırmadığı bir bileşende başarısız oldu, genellikle anahtar değişimi grubunda. Bu kılavuz herhangi bir şeyi değiştirmeden önce gerçek değişimi okur, tek bir kapsamlı ilke uygular ve önceki parametreleri geri yükleyen bir geri alma bırakır.
Bir grubu değiştirmeden önce hatayı okuyun
«İlke eşleşme hatası» bir özettir, tanı değildir. Karşılıklı kabul edilebilir bir teklif bulunamadığı anlamına gelir ve hangi bileşenin reddedildiği hakkında hiçbir şey söylemez. Onu belirli bir grup hakkında kanıt olarak değil, incelemenin başlangıcı olarak ele alın.
Cevap genellikle sunucu tarafındadır. Uygun düzeydeki bir strongSwan günlüğü, istemciden aldığı teklifi ve kabul etmek üzere yapılandırıldığı teklifi listeler; iki listenin farkı başarısız olan bileşeni adlandırır.
İstemcinin eski bir forum gönderisinin söylediğini sunduğunu varsaymayın. Etkin profil ve kurulu ilkesi sunulan listeyi belirler ve güncellenmiş bir Windows derlemesi, kopyaladığınız ekran görüntüsündekinden farklı bir küme sunabilir.
İki listeyi de yazın. Dört dönüşüm konumu ve bir grup kısa bir listedir ve satır satır karşılaştırmak herhangi bir denemeden daha az zaman alır. Dört konumu göz önünde tutmak kolaydır. Günlük dosyasını değil.
Tek bir tanıdık adı değil, her dönüşümü karşılaştırın
Bir IKE teklifi, hepsinin eşleşmesi gereken bir seçimler kümesidir. Şifreleme görüşmeyi korur, bütünlük veya bir PRF onu doğrular ve bir Diffie-Hellman grubu taze anahtar malzemesi oluşturur. İlk ikisinde eşleşip üçüncüsünde farklılaşan bir teklif iki eş için de hâlâ kabul edilemez.
Burada karıştırılan iki Windows alanı farklı aşamalara aittir. DHGroup IKE anahtar değişimi için geçerlidir, PfsGroup ise trafiği koruyan alt birleşim için geçerlidir. İkincisini değiştirmek birincideki hatayı onaramaz.
Grup adları uygulamalar arasında farklıdır ve bu ayrı bir karışıklık kaynağıdır. strongSwan modp2048 ve ecp256 yazar, Windows ise Group14 ve ECP256 gibi numaralandırma adları kullanır, bu yüzden bir karşılaştırma önce çevirmelidir. İki adı içeren iki sütunlu bir not tutun. O zaman sonraki uyuşmazlık saniyeler içinde sınıflandırılır.
| Transform | Windows parameter | strongSwan name | Failure it causes |
|---|---|---|---|
| Encryption | CipherTransformConstants | aes, aes256gcm and similar | No common proposal at all |
| Integrity or PRF | AuthenticationTransformConstants | sha256, sha512 and similar | Proposal rejected after encryption matches |
| Key-exchange group | DHGroup | modp2048, ecp256 | Exchange fails during key establishment |
| Child SA protection | PfsGroup | esp proposal groups | Tunnel negotiates, data association does not |
Tek bir eksiksiz ve kapsamlı ilke uygulayın
Yerel bir IKEv2 profili için desteklenen araç, bağlantı başına bir IPsec ilkesidir; alan alan değil, tek bir nesne olarak ayarlanır. Önce önizleyin, sonra uygulayın ve önceki parametreleri değişiklik kaydında saklayın.
Set-VpnConnectionIPsecConfiguration -ConnectionName "Northwind IKEv2" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -DHGroup ECP256 -PfsGroup ECP256 -WhatIf-WhatIf anahtarı yerel değişikliği önizler ve hiçbir şey uygulamaz. Bu yararlıdır ve aynı zamanda yaygın bir tuzaktır, çünkü bir önizleme yalnızca parametrelerin yerel cmdlet için sözdizimsel olarak kabul edilebilir olduğunu kanıtlar. Ağ geçidinin ortaya çıkan teklifi kabul edip etmeyeceği hakkında hiçbir şey söylemez.
Oradayken kapsamı da eşleştirin. Tüm kullanıcılar deposundaki bir bağlantı, karşılık gelen tüm kullanıcı parametresine ihtiyaç duyar ve aynı görünen ada sahip kullanıcı başına profili düzenlemek, tünelin kullanmadığı başka bir nesneyi değiştirir.
Ardından testten önce strongSwan tarafını aynı kümeye getirin. İki uçta koordineli değişiklik, bunun yakınsayan tek sürümüdür; bir tarafı değiştirip tekrar tekrar denemek aynı reddedilme ile dolu bir günlük üretir.
Değişimi ve anahtar yenilemeyi ayrı ayrı doğrulayın
Başarılı bir bağlantı bir gözlemdir ve anahtar yenileme bir başkasıdır. İlk IKE görüşmesi tek bir parametre kümesi kullanır ve trafiği taşıyan alt birleşim daha sonra kendi ilkesiyle yeniden görüşülebilir. Bağlanıp bir süre sonra düşen bir kurulum genellikle ikinci durumdur.
ipsec statusall | grep -A6 "Northwind"
Get-VpnConnection -Name "Northwind IKEv2" | Format-List *İlk komut, sunucunun kurulmuş birleşimlere bakışını gösterir; alt SA ve kalan ömrü de buna dahildir. İkincisi istemci profilinin artık ne tuttuğunu gösterir ve ayarladığınız ilkenin yürürlükteki ilke olduğunu doğrulamanın tek yolu budur.
Başarı ilan etmeden önce tam bir anahtar yenilemeyi izleyin. Bu, bağlantıyı alt birleşim değiştirilecek kadar açık tutmak ve ardından trafiğin sürdüğünü doğrulamak anlamına gelir. İlke uyuşmazlıklarının çoğu o adımda saklanır, çünkü ilk görüşme yenilemenin kabul etmediği bir kümeyle de başarılı olabilir.
Geri alma, önceki parametre kümesidir, hoşgörülü bir yedek değil. İstemci yalnızca zayıf bir eski grup sunduysa cevap, istemci ve sunucunun ortak ilkesini iyileştirmektir; o grubu, gelecekteki her eşin ona kadar aşağı görüşebileceği ağ geçidine eklemek değil.
Dört parametreyi, grubu, bağlantının kapsamını ve anahtar yenilemenin sonucunu not edin. Bu kısa bir nottur ve bir kılavuz ile tünelin bir zamanlar nasıl açıldığına dair bir hikâye arasındaki fark budur.