VPC router cannot run IKE with AES-GCM: libstrongswan-standard-plugins is not installed

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#14,427 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
77/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
java, linux
Lĩnh vực
infrastructure, networking

Hướng nghiên cứu

Bắt đầu với tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh và kiểm tra danh sách gói quanh dòng 78. Xác nhận gói nào cung cấp các plugin AES-GCM còn thiếu của strongSwan, sau đó thêm gói đó vào danh sách. Dựng lại mẫu máy ảo hệ thống và xác minh rằng charon thương lượng chính sách IKEv2 AES-GCM đã nêu.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug
problem

The system VM template build script tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh (line 78 on main) installs "strongswan libcharon-extra-plugins libstrongswan-extra-plugins strongswan-charon strongswan-starter" with --no-install-recommends. That leaves out libstrongswan-standard-plugins, which holds the gcm, openssl and aesni plugins. charon on the router then has no AES-GCM for IKE.

With an IKE policy such as aes256gcm16-sha256;modp2048 and IKEv2, charon logs:

ENCRYPTION_ALGORITHM AES_GCM_16 (key size 256) not supported!
key derivation failed

ESP with AES-GCM works, because the kernel does ESP.

versions

CloudStack 4.22.0.0, 4.23.0.0 and main. System VM template 4.22.0 (strongSwan 5.9.8, Debian 12). KVM.

The steps to reproduce the bug
  1. Allow GCM in NetUtils.isValidS2SVpnPolicy (the stock API refuses GCM ciphers), or use a build that allows it.
  2. Create a site-to-site VPN customer gateway with ikeversion=ikev2, ikepolicy=aes256gcm16-sha256;modp2048, esppolicy=aes256gcm16;modp2048.
  3. Create the VPN connection and reset it.
  4. Read /var/log/daemon.log on the VPC router.
What to do about it?

Add libstrongswan-standard-plugins to the package list in install_systemvm_packages.sh. We run a template with this package added (strongSwan 5.9.8-5+deb12u5) in production. charon then selects IKE:AES_GCM_16_256/PRF_HMAC_SHA2_256/MODP_2048 and ESP:AES_GCM_16_256, with no other change.

Ngôn ngữ chính
Java
Star
3.1k
Fork
1.4k
Merge trung bình
7 ngày 21 giờ
Pull request đã merge (30 ngày)
20

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của apache/cloudstack

Tất cả issue của apache/cloudstack

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.