VPC router cannot run IKE with AES-GCM: libstrongswan-standard-plugins is not installed

Aberta Para iniciantes
  • Algo errado?
#14,427 1 comentário 0 reações 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
2/5
Tempo estimado
1-3 horas
Facilidade para iniciantes
77/100
Tipo de issue
Bug
Clareza
Claramente especificada
Status de atividade
Ativa
Stack de tecnologia
java, linux
Domínio
infrastructure, networking

Direção de pesquisa

Comece por tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh e examine a lista de pacotes perto da linha 78. Confirme qual pacote fornece os plugins AES-GCM ausentes do strongSwan e adicione-o à lista. Reconstrua o template da VM do sistema e verifique se o charon negocia a política IKEv2 AES-GCM informada.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

bug
problem

The system VM template build script tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh (line 78 on main) installs "strongswan libcharon-extra-plugins libstrongswan-extra-plugins strongswan-charon strongswan-starter" with --no-install-recommends. That leaves out libstrongswan-standard-plugins, which holds the gcm, openssl and aesni plugins. charon on the router then has no AES-GCM for IKE.

With an IKE policy such as aes256gcm16-sha256;modp2048 and IKEv2, charon logs:

ENCRYPTION_ALGORITHM AES_GCM_16 (key size 256) not supported!
key derivation failed

ESP with AES-GCM works, because the kernel does ESP.

versions

CloudStack 4.22.0.0, 4.23.0.0 and main. System VM template 4.22.0 (strongSwan 5.9.8, Debian 12). KVM.

The steps to reproduce the bug
  1. Allow GCM in NetUtils.isValidS2SVpnPolicy (the stock API refuses GCM ciphers), or use a build that allows it.
  2. Create a site-to-site VPN customer gateway with ikeversion=ikev2, ikepolicy=aes256gcm16-sha256;modp2048, esppolicy=aes256gcm16;modp2048.
  3. Create the VPN connection and reset it.
  4. Read /var/log/daemon.log on the VPC router.
What to do about it?

Add libstrongswan-standard-plugins to the package list in install_systemvm_packages.sh. We run a template with this package added (strongSwan 5.9.8-5+deb12u5) in production. charon then selects IKE:AES_GCM_16_256/PRF_HMAC_SHA2_256/MODP_2048 and ESP:AES_GCM_16_256, with no other change.

Linguagem predominante
Java
Estrelas
3.1k
Forks
1.4k
Merge médio
9d 23h
PRs com merge (30d)
19

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de apache/cloudstack

Todas as issues de apache/cloudstack

Issues semelhantes

Mais issues de Java

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.