iOS IKEv2 إلى strongSwan: لم يتم اختيار أي اقتراح، أصلح القائمة

يرفع الآيفون النفق، وترد البوابة بلا شيء، ويعرض الهاتف فشلا عاما. سجل strongSwan أكثر تحديدا: لم يتم اختيار أي اقتراح. تعني هذه الرسالة أن قائمتي مجموعات التشفير المقبولة لم تتقاطعا أبدا، فانتهى التبادل قبل أن يبدأ التحقق. إنها مشكلة مطابقة، والحل هو جعل القائمتين تتقاطعان.

أين تعلن البوابة سياستها

يكتب strongSwan سياسته في الإعدادات، وعلامة التعجب في النهاية تحدد كيف تقرأ هذه السياسة. مع العلامة تكون القائمة شاملة: تقبل تلك الإدخالات ولا شيء غيرها. بدونها يصبح السطر نفسه ترتيب تفضيل، وقد يختار الخادم شيئا لم تقصده. اسأل أي صيغة منشورة قبل أن تترجم أي شيء، لأن الاثنتين تتصرفان بشكل مختلف مع العميل نفسه. سجل السطر الدقيق، بما فيه العلامة، واختبر مقابله.

يمكن للعميل الذي يعرض قائمة أوسع أن يتصل ببوابة مثبتة، ما دامت مجموعة واحدة تظهر على الجانبين. ما لا يمكن حدوثه هو تفاوض خارج المجموعة المثبتة.

لهذا قد يعمل ملف تعريف منسوخ من تطبيق VPN آخر حيث لا يعمل ملفك: التطبيق الآخر شحن قائمة مختلفة.

يجب أن تتطابق الأسماء، لا أن تتحسن

هناك ترجمتان توقعان الناس عند نقل القيم من strongSwan إلى iOS. خوارزمية السلامة المكتوبة SHA1 في اقتراح IKE تنتقل بصيغتها المقتطعة، التي يسميها iOS .SHA96. مجموعة ديفي-هيلمان المكتوبة modp1024 هي group 2، التي يسميها iOS .group2. استبدال SHA-256 أو group 14 لن يتفاوض مع بوابة تقبل الزوج الأقدم فقط. على العميل أن يصف الخوارزمية نفسها، لا خوارزمية أقوى.

اضبط تلك القيم صراحة في NEVPNProtocolIKEv2. قد تكون القيم الافتراضية أوسع أو أضيق من ملف التعريف الذي تستبدله، ولا يظهر الفرق إلا عندما يفشل المصافحة.

اقتراح الابن يفشل لاحقا وبصوت أخفض

اضبط اقتران الأمان للابن بالإضافة إلى اقتران IKE. عندما تتطابق معاملات IKE فقط، يتحقق النفق ثم لا يحمل أي حركة، وهو فشل أهدأ بكثير من الرفض. اضبط تشفير الابن وسلامته ومجموعته ومدته في نفس الخطوة. أبق مدة العميل عند قيمة البوابة أو أقل منها، لأن الإصرار على مدة أطول ينتج رسالة عدم اختيار الاقتراح نفسها من سبب مختلف. عدم التطابق هناك يبدو مطابقا لعدم تطابق IKE في السجل.

تحقق مما إذا كان ملف التعريف يتحقق بالشهادات أم بسر مشترك أثناء وجودك في الإعدادات. يظهر رفض الاقتراح ورفض التحقق في سطرين مختلفين، وإصلاح الخطأ الخاطئ يكلف يوما. اختبر باتصال جديد بعد كل تغيير، متغيرا واحدا في كل مرة، لأن الحالة المخزنة تخفي أي معامل تحرك.

اترك المجموعة القديمة فقط طالما هي مطلوبة

تثبيت SHA-1 مع مجموعة 1024 بت جسر، لا وجهة. كلاهما مهمل، وقد يرفضهما العملاء الأحدث صراحة، ما يعني أن ملف التعريف سيفشل على الجهاز التالي دون أي تغيير من جانبك. اعتبر التثبيت مؤقتا وقل ذلك في السجل.

إذا كان strongSwan لك، أضف اقتراحا حديثا ودع الطرفين يتفاوضان صعودا بينما يبقى الإدخال القديم للأجهزة الأقدم. اقرأ مخرجات حالة الخادم لترى أي مجموعة استخدمها كل اتصال فعليا. ثم أزل التثبيت من جانب العميل بعد تأكيد الزوج الحديث. النفق الذي يرتفع ليس دليلا كافيا، لأنه قد يرتفع على المجموعة التي كنت تحاول إيقافها. توضح وثائق strongSwan IKEv2 صيغة الاقتراح والعلامة الصارمة.