iOS strongSwan tunelinizi rədd etdi: IKE təkliflərini müqayisə edin

Sertifikatda və ya ünvanda heç nə keçən il strongSwan-a qoşulan iPhone-un bu il niyə uğursuz olduğunu izah etmir. Ünvanda, əvvəlcədən paylaşılan açarda və ya müştəri kimliyində heç nə dəyişməli deyildi. Dəyişən telefonun daxili müştərisinin razılaşmağa hazır olduğu çevrilmələrin siyahısıdır və bu siyahı serverinkinlə üst-üstə düşməyi dayandıran kimi, mübadilə hər hansı kimliyin yoxlanmasından əvvəl bitir.

Qərarı verən jurnal sətri

Bu bağlantı üçün jurnal səviyyəsini artırın və nəticəni həll edən iki qeydi tapın: telefonun nə təklif etdiyi və serverin nə seçdiyi. Jurnal seçilmiş təklif olmadan bitirsə və heç nəyin uyğunlaşmadığını bildirirsə, autentifikasiyaya heç cəhd edilməyib. Yeni sertifikat və yeni parol bu məqamda heç nəyi dəyişmir, çünki hər ikisi daha sonrakı mərhələdə istifadə olunur. Heç biri kimliyin yoxlanmasından əvvəl həll olunmuş nəticəyə təsir edə bilməz.

Hər hansı düzəliş etməzdən əvvəl iki uğursuzluq formasını ayırın. Çevrilmələrdə edilən düzəliş rədd edilmiş etimad məlumatını xilas etmir, etimad məlumatının düzəldilməsi isə rədd edilmiş çevrilməni xilas etmir. Seçilmiş təklifi adlandıran jurnal qeydi sizə iki vəziyyətdən hansında olduğunuzu deyir. Həmin qeyd olmadan siz təxmin edirsiniz.

Seçilmiş sətir təklifi dostyana adla deyil, çevrilmə dəsti ilə adlandırır. Şifrələmə, bütövlük və qrup sahələrini müqayisə edin həmin sətirdə telefonun göndərdiyi siyahı ilə, çünki hər hansı bir sahədə uyğunsuzluq uduzmaq üçün kifayətdir.

Telefonda nə dəyişdi

Bir iOS buraxılışı müştərinin istifadə etməyə razı olduğu alqoritmləri kəsdi. Zəif bütövlük heşləri, kiçik Diffie-Hellman qrupları və köhnə seçimləri birinci sadalayan təkliflər artıq qəbuledilən olmaqdan çıxdı.

Burada uzun siyahılar daha təhlükəsiz deyil. Seçim telefonun qəbul etdiyi çoxluğa və öz üstünlük sırasına uyğun gedir, ona görə geniş kataloq elan edən server də müasir qeydlər seçilənlər olmayanda razılaşmanı uduza bilər. Müasir qeydlər öndə olmaqla qısa siyahıya üstünlük verin. Köhnə seçimlərlə başlayan uzun siyahı məhz qaçmağa çalışdığınız uğursuzluğu dəvət edir. Qəbul edilən çoxluq xarici məhdudiyyətdir və müştəri yeniləndikcə dəyişir, ona görə dünən işləyən konfiqurasiya dünənə dair sübutdur.

Hələ də razılaşan bir cüt

Müasir telefonlar üçün bir müasir kombinasiya kifayətdir. Razılaşan bir cüt belə görünür:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike sətri açar mübadiləsi gedərkən istifadə olunan şifrələməni, bütövlüyü və Diffie-Hellman qrupunu daşıyır. esp sətri yalnız məlumat kanalını əhatə edir, çünki qrup onun tətbiqindən əvvəl həll edilib. Bağlantını yenidən yükləyin və ya demonu yenidən başladın, sonra telefonu yenidən qoşun. Bu qrup dəyərini yalnız xidmət göstərdiyiniz hər müştəri onu hələ də qəbul edirsə saxlayın və bir köhnə peer daha çoxuna ehtiyac duyduğu üçün təklifi hamı üçün genişləndirməyin.

Düzəltmək üçün üç yer, biri adətən bağlıdır

• Hər peer üçün bir müasir təklif. Bütün müştərilər müasir telefon və masaüstü olduqda doğrudur. Köhnə çevrilmələri onların ətrafında razılaşmaq əvəzinə silir.
• Apple müştəriləri üçün ikinci bağlantı tərifi. Bir köhnə peer-i sağ saxlayır, eyni zamanda telefona qəbul etdiyi təklifi verir. Bir bağlantı bloku daha baha başa gəlir və istisnanı görünən edir.
• Müştərini dəyişmək. Sizin üçün nadir hallarda açıqdır: idarəetmə sistemi və ya tətbiq profili təqdim edəndə toxunmaq üçün təklif redaktoru olmur, daxili müştəri isə belə bir şey təqdim etmir.

Nəzarətinizdən kənar cihaz yenilənə bilmirsə ikinci variantı seçin. Köhnə peer-i təqaüdə çıxara bilirsinizsə və tək siyasət daşımağa üstünlük verirsinizsə birincisini seçin.

Hər iki halda seçim konfiqurasiyada görünür və məsələ də budur. Köhnə çevrilməyə qədər aşağı razılaşan səssiz geri dönüş açıq blokdan pisdir, çünki heç bir baxış onu heç vaxt üzə çıxarmaz.

Bunu sübut edin, sonra qeyd edin

Yenidən qoşulun və serverdə üç ayrı faktı yoxlayın: təklif seçilib, bağlantı qurulmuş görünür və müştəri ünvan alıb. Uzaq ünvan olmadan qurulmuş əl sıxma hovuza və ya trafik seçicilərinə işarə edir və öz ayrı dəyişikliyinə aiddir. İkisini birlikdə ələ alanda həll olunmuş razılaşma həll olunmamış görünür.

Qəbul edilən çevrilmə dəstini, onu nə vaxt dəyişdiyinizi və hansı müştəri buraxılışını yoxladığınızı yazın. Növbəti yeniləmə tələbi yenidən dəyişə bilər və işləyən dəyərlər yenilərin yanında ilk istədiyiniz şeydir.