Strongswan IKEv2 vpn pe clientul Windows 10. Primesc „eroare de potrivire a politicii”

fisierul meu jurnal:

16 ianuarie 22:10:46 ip-172-26-4-200 charon: 05[CFG] selectând propunerea:
16 ianuarie 22:10:46 ip-172-26-4-200 charon: 05[CFG] nu s-a găsit un ENCRYPTION_ALGORITHM acceptabil
16 ian 22:10:46 ip-172-26-4-200 charon: 05[CFG] propuneri primite: IKE:AES_CBC_128/HMAC_SHA2_256_128/PRF_HMAC_SHA2_256/ECP_256
16 ian 22:10:46 ip-172-26-4-200 charon: 05[CFG] propuneri configurate: IKE:AES_GCM_16_128/PRF_HMAC_SHA2_256/ECP_256
16 ianuarie 22:10:46 ip-172-26-4-200 charon: 05[IKE] gazda locală este în spatele NAT, trimițând keep alives
16 ianuarie 22:10:46 ip-172-26-4-200 charon: 05[IKE] gazda la distanță este în spatele NAT

Cu ce ​​ar trebui să stabilesc Set-VpnConnectionIPsecConfiguration în Windows 10? Nu pot să-mi dau seama.

Clientul propune AES în modul CBC cu HMAC-SHA2-256 ca protecție a integrității, în timp ce serverul este configurat pentru AES în modul GCM (AEAD, combinat-mode, care include criptare și protecție a integrității). Schimbare fie dintre acestea pentru a face conexiunea să funcționeze.

Pe client, utilizați VpnConnectionIPsecConfiguration...-Metoda de criptare GCMAES128... pentru a-l face să folosească AES-GCM pe 128 de biți pentru IKEv2.

Pe server, puteți modifica propunerile IKE fie adăugând una alta cu aes128 și sha256 (AEAD și algoritmii clasici trebuie să fie în propuneri separate, de ex. aes128gcm16-prfsha256-ecp256, aes128-sha256-ecp256), clienții sunt apoi liberi să folosească unul sau altul sau să îl înlocuiască aes128gcm16 cu aes128-sha256 în propunerea existentă.

Este posibil să aveți o problemă similară cu propunerea ESP, pe care o puteți rezolva în mod similar (pe clientul Windows, -CipherTransformConstants GCMAES128 configurează AES-GCM pentru ESP).