VPC router cannot run IKE with AES-GCM: libstrongswan-standard-plugins is not installed
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 2/5
- Temps estimé
- 1-3 heures
- Accessibilité débutants
- 77/100
- Type d'issue
- Bug
- Clarté
- Clairement spécifiée
- Activité
- Active
- Stack technique
- java, linux
- Domaine
- infrastructure, networking
Piste de recherche
Commencez par tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh et examinez la liste des paquets autour de la ligne 78. Confirmez quel paquet fournit les plugins AES-GCM de strongSwan manquants, puis ajoutez-le à la liste. Reconstruisez le modèle de la VM système et vérifiez que charon négocie la stratégie IKEv2 AES-GCM signalée.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
problem
The system VM template build script tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh (line 78 on main) installs "strongswan libcharon-extra-plugins libstrongswan-extra-plugins strongswan-charon strongswan-starter" with --no-install-recommends. That leaves out libstrongswan-standard-plugins, which holds the gcm, openssl and aesni plugins. charon on the router then has no AES-GCM for IKE.
With an IKE policy such as aes256gcm16-sha256;modp2048 and IKEv2, charon logs:
ENCRYPTION_ALGORITHM AES_GCM_16 (key size 256) not supported!
key derivation failed
ESP with AES-GCM works, because the kernel does ESP.
versions
CloudStack 4.22.0.0, 4.23.0.0 and main. System VM template 4.22.0 (strongSwan 5.9.8, Debian 12). KVM.
The steps to reproduce the bug
- Allow GCM in NetUtils.isValidS2SVpnPolicy (the stock API refuses GCM ciphers), or use a build that allows it.
- Create a site-to-site VPN customer gateway with ikeversion=ikev2, ikepolicy=aes256gcm16-sha256;modp2048, esppolicy=aes256gcm16;modp2048.
- Create the VPN connection and reset it.
- Read /var/log/daemon.log on the VPC router.
What to do about it?
Add libstrongswan-standard-plugins to the package list in install_systemvm_packages.sh. We run a template with this package added (strongSwan 5.9.8-5+deb12u5) in production. charon then selects IKE:AES_GCM_16_256/PRF_HMAC_SHA2_256/MODP_2048 and ESP:AES_GCM_16_256, with no other change.
- Langage dominant
- Java
- Étoiles
- 3.1k
- Forks
- 1.4k
- Merge moyen
- 9 j 23 h
- PR mergées (30 j)
- 19
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de apache/cloudstack
-
Remote access VPN users are disconnected on every LB, ACL, port forward or firewall change (xl2tpd restarted on every iptables pass)Peut-être pris Une pull request liée à cette issue est ouverte ou déjà fusionnée. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
apache/cloudstack#14545 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
apache/cloudstack#14530 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
bug status:has-work-around
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
apache/cloudstack#14465 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
4.23.0.0: restartVPC cleanup=true with public IPs on two VLANs fails with UnsupportedOperationException and leaves the VPC without a backup routerPeut-être pris @bernardodemarco l’a pris il y a 6 jours. Ouvertebug
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
apache/cloudstack#14430 · 4 commentaires · 1 personne assignée ·
Les mainteneurs répondent en général sous 1 jour
-
[UI] "canceled - Unable to reach the management server" notification when switching from project to default view on Instances page (4.20.3)Peut-être pris @Damans227 l’a pris il y a 21 jours. Ouvertebug
Difficulté 2/5 1-3 heures Accessibilité débutants 65/100
apache/cloudstack#14381 · 1 commentaire · 1 réaction · 1 personne assignée ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de apache/cloudstack
Issues similaires
-
5.0.x backport enhancement
Difficulté 2/5 1-3 heures Accessibilité débutants 63/100
spring-cloud/spring-cloud-function#1507 ·
Les mainteneurs répondent en général sous 1 jour
-
ai-driven-fuzzing bug claude Minor
Difficulté 2/5 1-3 heures Accessibilité débutants 66/100
linagora/twake-calendar-side-service#1417 · 2 commentaires ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 74/100
line/armeria#7109 · 3 réactions ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 66/100
a2aproject/a2a-java#1275 ·
Les mainteneurs répondent en général sous 1 jour
-
module/ftp Type/Bug
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
ballerina-platform/ballerina-library#9476 ·
Les mainteneurs répondent en général sous 1 jour