IKEv2 NO_PROPOSAL_CHOSEN: qaysi bosqich to'plamni rad etdi?

Jurnalda NO_PROPOSAL_CHOSEN ko'rsangiz, odamlar oldindan bo'lishilgan kalitga yugurishadi va kalit o'zgartirilgandan keyin ham xato saqlanib qoladi. Bu hech qachon hisob ma'lumotlari muammosi bo'lmagan: sherik o'sha almashinuv uchun taklif qilingan har bir taklifni rad etdi, bu identifikatsiya emas, algoritmlar haqidagi bayonot. Birinchi foydali savol qaysi algoritmni tahrirlash emas, qaysi almashinuv rad etilgani. Biror narsani solishtirishdan oldin bunga javob bering. So'ngra taklif qilingan to'liq to'plamni sherik ruxsat bergan to'liq to'plam bilan solishtiring.

Avval: qaysi almashinuv rad etildi

IKEv2 ikki turdagi birlashmani muhokama qiladi. IKE SA muhokamaning o'zini himoya qiladi, CHILD SA esa trafikni himoya qiladi. Har birining o'z taklif to'plami bor va har biri bir xil bildirishnoma bilan muvaffaqiyatsiz bo'lishi mumkin. Boshlang'ich IKE muhokamasi paytidagi rad etish va CHILD muhokamasi paytidagi rad etish turli tuzatishlarni talab qiladi, va jurnal odatda almashinuvni bildirishnomadan bir yoki ikki qator yuqorida nomlaydi. O'sha ikki qatorni birga o'qing, aks holda noto'g'ri taklif ro'yxatini tahrirlaysiz.

Faqat bildirishnoma almashinuvni aniqlamaydi. Uning ustidagi qator muhokama qilinayotgan SA nomini aytadi va bu nom tekshirilishi kerak bo'lgan taklif ro'yxatiga ishora qiladi.

To'liq to'plamlarni solishtiring, alohida kalit so'zlarni emas

Taklif bu kombinatsiya: shifrlash algoritmi, yaxlitlik yoki AEAD, kalit almashinuv guruhi va har qanday psevdo-tasodifiy funksiya. Faqat shifrlash nomini solishtirish odatiy xato, chunki ikki sherik AES-256 bo'yicha kelishib, SHA-1 va SHA-256 bo'yicha baribir kelisha olmasligi mumkin. Muvaffaqiyatsiz bosqichda taklif qilingan va ruxsat etilgan to'plamlarni yonma-yon yozing, so'ngra bo'sh kesishmani qidiring.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Ikkala amalga oshirish ham siz sozlagan narsani qo'llab-quvvatlashini tekshiring. Boshqa platformadan ko'chirilgan nom sintaktik jihatdan tanish ko'rinishi mumkin holbuki plagin yoki amalga oshirish butunlay yo'q.

IKE to'plami va ESP to'plami turli obyektlar

IKE taklifini tahrirlash rad etilgan CHILD taklifini tuzatmaydi va buning aksi ham to'g'ri. strongSwan'da bular alohida sozlamalar, taxminan IKE SA uchun proposals = aes256-sha256-modp2048 va CHILD SA uchun alohida ESP ro'yxati. Muvaffaqiyatsiz almashinuvga mos ro'yxatni o'zgartiring, so'ngra tuzatish ishladi deb taxmin qilmasdan jurnalni qayta o'qing.

CHILD SA uchun tegishli sozlama ESP taklif ro'yxati, IKE ro'yxati emas. Unga IKE qatorini ko'chirish tahlil qilinadigan, lekin noto'g'ri obyektni muhokama qiladigan konfiguratsiya hosil qiladi.

Ishlayotgan tunnel kalitni yangilashda muvaffaqiyatsiz bo'ladi

Agar tunnel bir soat ishlab, keyin muvaffaqiyatsiz bo'lsa, boshlang'ich muhokama muammo emas. Kalitni yangilash boshqa shartlarni sinab ko'rishi mumkin: birinchi almashinuvdan keyin boshqa kalit almashinuv guruhi, sheriklar o'rtasidagi umr nomuvofiqligi yoki o'zgargan javob beruvchi siyosati. Ikkala tomondan yangilanish vaqt belgisi va birlashma identifikatorlarini saqlang. Bunday naqsh yangilashda takliflarni solishtirishni talab qiladi, uzoqroq taym-autni emas. Taym-autni o'zgartirish alomatni yashiradi va nomuvofiqlikni joyida qoldiradi.

ipsec statusall har bir birlashmani va haqiqatda kelishilgan algoritmlarni ko'rsatadi. Bu chiqish qaysi ro'yxat ishlatilganini tasdiqlashning eng tez usuli va konfiguratsiya xatosini hech qachon qayta muhokama qilinmagan eski tunneldan ajratadi.

ipsec statusall | grep -E "IKE:|ESP:"

Kesishmani tanlang, so'ngra ikkala fazani tasdiqlang

Administratordan ikkala sherik qo'llab-quvvatlaydigan hujjatlashtirilgan zamonaviy kesishmani tanlashni va uni yozib qo'yishni so'rang. Xatoni barcha eski algoritmlarni yoqish yoki identifikatsiyani tekshirishni o'chirish bilan hal qilmang, chunki ikkalasi ham rad etishdan kelib chiqmaydi. O'zgartirishdan keyin yangi ulanish o'rnating, so'ngra kalitni yangilashni majburlang. Faqat birinchi ulanish yangilash yo'li ishlashini isbotlamaydi.

Qabul qilingan kombinatsiyani proshivka versiyalari bilan birga saqlang. Agar keyingi xato trafik selektorlariga tegishli bo'lsa, uni alohida ko'rib chiqing, chunki kriptografiya bo'yicha kelishuv tunnel qaysi quyi tarmoqlarni himoya qilishi haqida hech narsa demaydi. strongSwan takliflar hujjati ikkala ro'yxat sintaksisini qamrab oladi.