IPSecトンネルはキーを再入力するまで有効なままで、その後NO_PROPOSAL_CHOSENを取得します。

Question

また、swanctl設定ファイルから別のアルゴリズムを要求しました。

ESP / IPsecではなくIKEに対してのみこれを行います。

キーを再入力すると、これらの提案が一致しない理由がわかりません（初期接続と一致する場合）。

これはIKEv2の一般的な誤解です。 IKE_AUTH中に生成されたCHILD_SA（IPsec SA）のネゴシエートされた提案には、キーが常にIKE_SAのキーデータから派生するため、キー交換方法（DHグループなど）は含まれていません。

したがって、1つのピア（あなたの場合はpfSense）に1つ以上のDHグループが構成されていて（含まれていないNONE）、他のピア（strongSwan）にない場合、CHILD_SA秘密キーは実際にキーとキー交換を再生成します。方法を協議する必要があります。これCHILD_SA キーの再生成に関する StrongSwan ドキュメントこれも説明されています。

したがって、StrongSwanクライアントで設定したいものは次のとおりです。

connections {
  gw-gw {
    ...
    children {
      net-net {
        ...
        esp_proposals = aes128gcm16-modp2048
      }
    }
    ...
  }
}

Answer 1

また、swanctl設定ファイルから別のアルゴリズムを要求しました。

ESP / IPsecではなくIKEに対してのみこれを行います。

キーを再入力すると、これらの提案が一致しない理由がわかりません（初期接続と一致する場合）。

これはIKEv2の一般的な誤解です。 IKE_AUTH中に生成されたCHILD_SA（IPsec SA）のネゴシエートされた提案には、キーが常にIKE_SAのキーデータから派生するため、キー交換方法（DHグループなど）は含まれていません。

したがって、1つのピア（あなたの場合はpfSense）に1つ以上のDHグループが構成されていて（含まれていないNONE）、他のピア（strongSwan）にない場合、CHILD_SA秘密キーは実際にキーとキー交換を再生成します。方法を協議する必要があります。これCHILD_SA キーの再生成に関する StrongSwan ドキュメントこれも説明されています。

したがって、StrongSwanクライアントで設定したいものは次のとおりです。

connections {
  gw-gw {
    ...
    children {
      net-net {
        ...
        esp_proposals = aes128gcm16-modp2048
      }
    }
    ...
  }
}

IPSecトンネルはキーを再入力するまで有効なままで、その後NO_PROPOSAL_CHOSENを取得します。

コンテキスト

質問

ログ（ラズベリー側）

初期接続

キーの再生成（ここでエラーが発生）

私が試したこと

構成ファイル

`/etc/swanctl/conf.d/myfile.conf`

psf

ステージ1

ステップ2

答え1

関連情報