رفض iOS نفق strongSwan لديك: قارن مقترحات IKE

لا شيء في الشهادة أو العنوان يفسّر فشل جهاز iPhone كان يتصل بـ strongSwan العام الماضي هذا العام. ليس بالضرورة أن يكون أي شيء في العنوان أو المفتاح المشترك مسبقًا أو هوية العميل قد تغيّر. الذي تحرّك هو قائمة التحويلات التي يستعد عميل الهاتف المدمج للتفاوض عليها، وحالما تتوقف تلك القائمة عن التقاطع مع قائمة الخادم، تنتهي المبادلة قبل فحص هوية أي طرف.

سطر السجل الذي يحسم الأمر

ارفع مستوى التسجيل لذلك الاتصال وابحث عن المدخلين اللذين يحسمان النتيجة: ما عرضه الهاتف وما اختاره الخادم. إذا انتهى السجل بلا مقترح مختار وأبلغ بأن لا شيء تطابق، فلم تُجرَّ محاولة مصادقة قط. شهادة جديدة وكلمة مرور جديدة لا تغيّران شيئًا عند تلك النقطة، لأن كليهما يُستهلك في مرحلة لاحقة. ولا أي منهما يستطيع التأثير في نتيجة حُسمت قبل فحص الهوية.

افصل بين شكلي الفشل قبل تعديل أي شيء. لا تعديل على التحويلات ينقذ بيانات اعتماد مرفوضة، ولا إصلاح لبيانات الاعتماد ينقذ تحويلًا مرفوضًا. مدخل السجل الذي يسمّي مقترحًا مختارًا يخبرك بأي الحالتين أنت. وبلا ذلك المدخل، أنت تخمّن.

السطر المختار يسمّي المقترح بمجموعة تحويلاته لا بتسمية ودّية. قارن حقول التشفير والسلامة والمجموعة في ذلك السطر بالقائمة التي أرسلها الهاتف، لأن اختلافًا في حقل واحد يكفي للخسارة.

ما الذي تغيّر في الهاتف

قلّص أحد إصدارات iOS الخوارزميات التي يرغب عميله في استخدامها. صارت تجزئات السلامة الضعيفة ومجموعات Diffie-Hellman الصغيرة والمقترحات التي تسرد الخيارات القديمة أولًا غير مقبولة.

القوائم الأطول ليست أكثر أمانًا هنا. يتبع الاختيار المجموعة المقبولة لدى الهاتف وترتيب تفضيلاته هو، لذا قد يخسر خادم يعلن كتالوجًا واسعًا التفاوضَ حين لا تكون المدخلات الحديثة هي التي تُختار. فضّل قائمة قصيرة تتصدّرها المدخلات الحديثة. والقائمة الطويلة التي تبدأ بخيارات قديمة تستدعي بالضبط الفشل الذي تحاول تفاديه. المجموعة المقبولة قيد خارجي يتحرك مع كل تحديث للعميل، فإعداد نجح أمس دليل عن أمس.

زوج واحد لا يزال يتفاوض

بالنسبة إلى الهواتف الحالية تكفي تركيبة حديثة واحدة. الزوج الذي يتفاوض يبدو هكذا:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

يحمل سطر ike التشفير والسلامة ومجموعة Diffie-Hellman المستخدمة أثناء جريان تبادل المفاتيح. أما سطر esp فيغطي قناة البيانات فقط، لأن المجموعة حُسمت قبل أن يسري. أعد تحميل الاتصال أو أعد تشغيل الخدمة، ثم أعد وصل الهاتف. لا تُبقِ قيمة المجموعة تلك إلا إذا كان كل عميل تخدمه لا يزال يقبلها، ولا توسّع المقترح للجميع لأن نظيرًا قديمًا واحدًا يحتاج أكثر.

ثلاثة مواضع للإصلاح، أحدها مغلق عادة

• مقترح حديث واحد لكل نظير. صحيح عندما تكون كل الأجهزة العميلة هواتف وحواسيب حديثة. يحذف التحويلات القديمة بدل التفاوض حولها.
• تعريف اتصال ثانٍ لعملاء Apple. يُبقي نظيرًا قديمًا واحدًا حيًا ويمنح الهاتف مقترحًا يقبله. يكلّف كتلة اتصال إضافية ويجعل الاستثناء مرئيًا.
• تغيير العميل. نادرًا ما يكون متاحًا لك: عندما يوزّع نظام إدارة أو تطبيق الملف الشخصي، لا يوجد محرر مقترحات تلمسه، والعميل المدمج لا يكشف واحدًا.

اختر الخيار الثاني عندما يتعذر تحديث جهاز خارج سيطرتك. واختر الأول عندما تستطيع إحالة النظير القديم إلى التقاعد وتفضّل سياسة واحدة.

في الحالتين يظل الخيار مرئيًا في الإعداد، وهذا هو المقصود. فالتراجع الصامت الذي يتفاوض نزولًا إلى تحويل قديم أسوأ من كتلة صريحة، لأن أي مراجعة لن تكشفه أبدًا.

أثبته، ثم سجّله

أعد الوصل وافحص ثلاثة وقائع منفصلة على الخادم: اختيار مقترح، وظهور الاتصال قائمًا، وحصول العميل على عنوان. مصافحة قائمة بلا عنوان بعيد تشير إلى المجمّع أو محددات حركة المرور، وموضعها تغيير مستقل. ومعالجة الأمرين معًا تجعل تفاوضًا محلولًا يبدو غير محلول.

دوّن مجموعة التحويلات التي قُبلت، ومتى غيّرتها، وأي بناء للعميل تحققت منه. قد يحرّك التحديث التالي الشرط مرة أخرى، والقيم التي نجحت هي أول ما ستحتاجه بجانب القيم الجديدة.