IKEv1 only supports one algorithm of each kind per proposal. Additional algorithms are implicitly stripped. Use multiple proposals to offer different algorithm combinations for IKEv1.
以上是关于 Internet Key Exchange version 1 (IKEv1)协议的限制及其应对策略的说明。
解释:
-
"IKEv1 only supports one algorithm of each kind per proposal." IKEv1使用"proposal"（提议）来协商安全关联 (SA)。 每个 proposal 包含一系列算法，用于加密、哈希、身份验证等等。 这里的限制在于，每个 proposal 只能指定 一种 特定类型的算法。 例如，你只能在 proposal 中包含一种加密算法（如 AES 或 3DES），一种哈希算法（如 SHA1 或 MD5）等等。 你不能在一个 proposal 中同时指定 AES 和 3DES 作为两种备选的加密算法。
-
"Additional algorithms are implicitly stripped." 如果你的配置尝试在一个 proposal 中包含同一类型的多个算法（例如，多个加密算法），IKEv1 会默默地移除（"stripped"）多余的算法，只保留一个。 这会导致配置的不确定性和潜在的安全问题，因为你可能认为你提供了多种算法选择，但实际上 IKEv1 只选择了其中一种。
-
"Use multiple proposals to offer different algorithm combinations for IKEv1." 由于 IKEv1 的这种限制，为了提供多种算法组合供协商，你需要创建 多个 proposal。 每个 proposal 包含不同的算法组合。 例如，你可以创建一个 proposal 使用 AES 和 SHA1，另一个 proposal 使用 3DES 和 MD5。 这样，IKEv1 就能尝试这些不同的 proposal，直到找到双方都支持的组合。
总结:
IKEv1 对每个 proposal 中算法类型的数量有限制。 为了提供多种加密，哈希，认证算法组合，必须配置多个 proposal。 每个proposal代表不同的算法组合，以便peer协商。
IKEv1 only supports one algorithm of each kind per proposal. Additional algorithms are implicitly stripped. Use multiple proposals to offer different algorithm combinations for IKEv1.
IKE Proposals: aes256-sha256-modp2048 ESP Proposals: aes256-modp2048
/etc/swanctl/swanctl.conf 为什么要设计两种 proposal，两种 proposal 的关系是什么？ 是否有匹配关系，如何才能匹配上？
在IKEv1中，提案（Proposals）是建立安全关联（SA）过程中的关键组成部分。我们来详细解释一下为什么需要设计两种提案（IKE提案和ESP提案），它们之间的关系，以及如何确保它们能够匹配。
IKE提案与ESP提案的概念
-
IKE提案：
- 目的：用于在建立IKE安全关联的谈判阶段，定义密钥交换和身份验证的算法。
- 组成：包含加密算法（如AES）、完整性算法（如SHA）、密钥交换方法（如MODP）等。
-
ESP提案：
- 目的：用于保护数据包（实际的IP流量），在IKE安全关联建立后关系到数据保护。
- 组成：主要包括加密算法（如AES）和完整性校验算法（如HMAC）。
两种提案的关系
- 匹配要求：在成功连接时，两端必须有匹配的IKE提案和ESP提案。
- 谈判过程：在IKE安全关联的谈判中，交换IKE提案。如果双方都接受了某个提案，就会使用该提案来建立IKE安全关联。
- 后续设置：一旦使用商定的IKE提案建立了IKE安全关联，就会进行类似的ESP提案的协商，以保护数据包。
为什么需要设计多种提案
由于IKEv1每个提案只支持一种类型的算法，因此必须使用多个提案来提供不同的算法组合。这样做的原因包括：
- 互操作性：不同的设备或网络可能支持不同的算法，通过提供多种选项，可以确保建立连接的灵活性。
- 安全策略适应性：不同的环境或组织可能有不同的安全需求，多种提案可以更好地适应这些需求。
确保提案匹配的方式
- 提供多个选项：通过提供多个IKE提案和ESP提案，可以让对方选择一个匹配的提案。
- 双端配置一致性：确保双方的配置中包含相同的提案组合，从而增加找到共同接受的提案的机会。
- 检查和测试：在修改配置后，检查日志并进行连通性测试，以确保能够正确协商并建立IKE和ESP安全关联。
总结
在IKEv1协议中，设计两种提案的目的是为了确保在建立安全关联时的灵活性和互操作性。通过提供多个提案，并确保双方配置匹配，可以成功地建立安全通信。