Windows 10 客户端上的 Strongswan IKEv2 vpn“策略匹配错误”

Question

我的 ubuntu 服务器上运行着最新版本的 Strongswan vpn。我在这里学习了本教程，并让它在我的 android 和 Iphone 上运行。

现在我想让它在我的 Windows 10 笔记本电脑上工作，但是当我尝试通过 Windows 中的 vpn 设置进行连接时，我只会收到“策略匹配错误”，并且事件视图给了我错误代码“13868”。

经过多次谷歌搜索，我仍然找不到任何可行的解决方案。

我能做什么？

Answer 1

问题很可能是 Windows 客户端提出了弱 Diffie-Hellman (DH) 组（1024 位 MODP）。除非用户明确配置它，否则 strongSwan 不再使用该组。

您有两个选择：

1. 将 Windows 配置为使用更强的 DH 组。这可以做到
   • 通过Set-VpnConnectionIPsecConfiguration PowerShell cmdlet，它允许启用更强大的 DH 组（例如组14/2048位 MODP 或 384 位 ECP）甚至其他算法（例如 AES-GCM 组合模式加密/完整性，效率更高，但也需要在服务器上显式启用）
   • 或通过注册表添加 DWORD 键HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters\NegotiateDH2048_AES256。将其设置1为启用（其他算法仍被建议），或2强制使用 256 位 AES-CBC 和 2048 位 MODP DH（仅建议使用这些）。
2. 将提议的弱 DH 组（1024 位 MODP）添加到服务器上的 IKE 提议中（例如，配置类似ike=aes256-aes128-sha256-sha1-modp3072-modp2048-modp1024，在最后添加它以便其他客户端可以使用更强的 DH 组）。

选项 1 绝对是首选。