IKEv2 NO_PROPOSAL_CHOSEN: ìpele wo ló kọ àpapọ̀ náà?

NO_PROPOSAL_CHOSEN nínú log máa ń rán àwọn ènìyàn lọ sọ́dọ̀ kọ́kọ́rọ́ tí wọ́n pín ṣáájú, àti àṣìṣe náà wà lẹ́yìn ìyípadà. Kò jẹ́ ìṣòro ẹ̀rí rárá: alábàákẹ́gbẹ́ kọ gbogbo àbá tí wọ́n fi fún pàṣípààrò yẹn, èyí tó jẹ́ ọ̀rọ̀ nípa àwọn algorithm kì í ṣe ìdánimọ̀. Ìbéèrè àkọ́kọ́ tó wúlò kì í ṣe algorithm wo ni kí a ṣàtúnṣe, bí kò ṣe pàṣípààrò wo ni wọ́n kọ̀. Dáhùn ìyẹn kí o tó fi ohunkóhun wé. Lẹ́yìn náà fi àpapọ̀ tí wọ́n fi lọ́nà wé àpapọ̀ tí alábàákẹ́gbẹ́ gbà.

Àkọ́kọ́: pàṣípààrò wo ni wọ́n kọ̀

IKEv2 ń ṣe ìdúnàádúrà nípa oríṣi ìsopọ̀ méjì. IKE SA ń dáàbò bo ìdúnàádúrà fúnra rẹ̀, CHILD SA ń dáàbò bo ìrìnàjò. Ọ̀kọ̀ọ̀kan ní àpapọ̀ àbá tirẹ̀, ọ̀kọ̀ọ̀kan sì lè kùnà pẹ̀lú ìkéde kan náà. Kíkọ̀ nígbà ìdúnàádúrà IKE àkọ́kọ́ àti kíkọ̀ nígbà ìdúnàádúrà CHILD nílò àtúnṣe ọ̀tọ̀ọ̀tọ̀, àti log sábà máa ń dárúkọ pàṣípààrò náà ní ìlà kan tàbí méjì lókè ìkéde. Ka àwọn ìlà méjì yẹn papọ̀, bí bẹ́ẹ̀ kọ́ ìwọ yóò ṣàtúnṣe àkójọ àbá tó kò tọ́.

Ìkéde nìkan kò dá pàṣípààrò mọ̀. Ìlà tó wà lókè rẹ̀ ń dárúkọ SA tí wọ́n ń dúnàádúrà rẹ̀, orúkọ yẹn sì ń tọ́ka sí àkójọ àbá tí ó yẹ kí a yẹ̀wò.

Fi àpapọ̀ kíkún wé, kì í ṣe àwọn kókó ọ̀rọ̀ kọ̀ọ̀kan

Àbá jẹ́ àkópọ̀: algorithm ìforúkọ́, ìdúróṣinṣin tàbí AEAD, ẹgbẹ́ pàṣípààrò kọ́kọ́rọ́, àti iṣẹ́ pseudo-random èyíkéyìí. Fífi orúkọ ìforúkọ́ nìkan wé jẹ́ àṣìṣe tó wọ́pọ̀, nítorí alábàákẹ́gbẹ́ méjì lè gbà lórí AES-256 kí wọ́n sì ṣì yàtọ̀ lórí SHA-1 lòdì sí SHA-256. Kọ àwọn àpapọ̀ tí wọ́n fi lọ́nà àti èyí tí wọ́n gbà lẹ́gbẹ̀ẹ́ ara wọn ní ìpele tó kùnà, lẹ́yìn náà wá ibi tó ṣófo.

offered:   aes256-sha256-modp2048
permitted: aes256-sha1-modp2048

Tún ṣàyẹ̀wò pé àwọn ìmúṣẹ méjèèjì ń ṣe àtìlẹ́yìn fún ohun tí o ṣètò. Orúkọ tí wọ́n dà sílẹ̀ láti pẹpẹ mìíràn lè dà bí ẹni tí ó mọ̀ọ́ nípasẹ̀ ìṣètò ọ̀rọ̀ nígbà tí plugin tàbí ìmúṣẹ kò sí pátápátá.

Àpapọ̀ IKE àti àpapọ̀ ESP jẹ́ ohun tó yàtọ̀

Ṣíṣàtúnṣe àbá IKE kò ní tún àbá CHILD tí wọ́n kọ̀ ṣe, àti bẹ́ẹ̀ náà lọ́nà òdì. Nínú strongSwan ìwọ̀nyí jẹ́ ètò ọ̀tọ̀ọ̀tọ̀, nǹkan bí proposals = aes256-sha256-modp2048 fún IKE SA àti àkójọ ESP ọ̀tọ̀ fún CHILD SA. Yí àkójọ tó bá pàṣípààrò tó kùnà mu, lẹ́yìn náà ka log náà lẹ́ẹ̀kan sí i dípò kí o rò pé àtúnṣe náà ṣiṣẹ́.

Fún CHILD SA, ètò tó yẹ ni àkójọ àbá ESP, kì í ṣe àkójọ IKE. Dídà ìlà IKE sínú rẹ̀ ń dá ètò tí wọ́n ń ṣàyẹ̀wò ṣùgbọ́n tí ń dúnàádúrà ohun tó kò tọ́.

Tunnel tó ń ṣiṣẹ́ tí ó kùnà nígbà ìmúdọ̀tun kọ́kọ́rọ́

Bí tunnel náà bá ṣiṣẹ́ fún wákàtí kan tí ó sì kùnà, ìdúnàádúrà àkọ́kọ́ kì í ṣe ìṣòro. Ìmúdọ̀tun kọ́kọ́rọ́ lè dán àwọn ipò mìíràn wò: ẹgbẹ́ pàṣípààrò kọ́kọ́rọ́ mìíràn lẹ́yìn pàṣípààrò àkọ́kọ́, àìbámu ìgbà ayé láàárín àwọn alábàákẹ́gbẹ́, tàbí ìlànà olùdáhùn tí ó yípadà. Pa àkókò ìmúdọ̀tun àti àwọn ìdánimọ̀ ìsopọ̀ mọ́ láti ẹ̀gbẹ́ méjèèjì. Irú àpẹẹrẹ bẹ́ẹ̀ nílò ìfiwéra àbá nígbà ìmúdọ̀tun, kì í ṣe àkókò ìdúró gígùn. Yíyí àkókò ìdúró ń fi àmì náà pamọ́ tí ó sì fi àìbámu náà sílẹ̀.

ipsec statusall ń fi ìsopọ̀ kọ̀ọ̀kan àti àwọn algorithm tí wọ́n dúnàádúrà ní ti gidi hàn. Ìjáde yẹn ni ọ̀nà tó yá jùlọ láti fìdí rẹ̀ múlẹ̀ pé àkójọ wo ni wọ́n lò, ó sì ya àṣìṣe ètò sọ́tọ̀ kúrò nínú tunnel àtijọ́ tí a kò tún dúnàádúrà rẹ̀.

ipsec statusall | grep -E "IKE:|ESP:"

Yan ibi tó ṣófo, lẹ́yìn náà fìdí àwọn ìpele méjèèjì múlẹ̀

Sọ fún alábòójútó pé kí ó yan ibi tó ṣófo tó jẹ́ ti ìgbàlódé tí wọ́n kọ sílẹ̀ tí àwọn alábàákẹ́gbẹ́ méjèèjì ń ṣe àtìlẹ́yìn fún, kí ó sì kọ ọ́ sílẹ̀. Má ṣe yanjú àṣìṣe náà nípasẹ̀ mímú gbogbo algorithm àtijọ́ ṣiṣẹ́ tàbí nípasẹ̀ dídá ìmúdájú ìdánimọ̀ dúró, nítorí kò sí èyí tí ó tẹ̀lé kíkọ̀. Lẹ́yìn ìyípadà, dá ìsopọ̀ tuntun, lẹ́yìn náà fi ipá mú ìmúdọ̀tun kọ́kọ́rọ́ ṣiṣẹ́. Ìsopọ̀ àkọ́kọ́ nìkan kò fi hàn pé ọ̀nà ìmúdọ̀tun ń ṣiṣẹ́.

Pa àkópọ̀ tí wọ́n gbà mọ́ pẹ̀lú àwọn ẹ̀yà firmware. Bí àṣìṣe tó kàn bá jẹ́ nípa àwọn olùyan traffic, tọ́jú rẹ̀ sọ́tọ̀, nítorí àdéhùn lórí cryptography kò sọ nǹkan kan nípa àwọn subnet tí tunnel ń dáàbò bò. Ti strongSwan ìwé àbá ń bo ìṣètò ọ̀rọ̀ àwọn àkójọ méjèèjì.