iOS IKEv2-dən strongSwan-a: heç bir təklif seçilmədi, siyahını düzəldin

iPhone tuneli qaldırır, şlüz heç nə ilə cavab verir və telefon ümumi xəta göstərir. strongSwan-ın jurnalı daha dəqiqdir: heç bir təklif seçilmədi. Bu mesaj məqbul şifr dəstlərinin iki siyahısının heç vaxt üst-üstə düşmədiyini bildirir, buna görə mübadilə autentifikasiya başlamazdan əvvəl bitdi. Bu uyğunlaşdırma problemidir və həll siyahıları kəsişdirməkdir.

Şlüz öz siyasətini harada bildirir

strongSwan öz siyasətini konfiqurasiyada yazır və sondakı nida işarəsi bu siyasətin necə oxunacağını müəyyən edir. İşarə ilə siyahı tamdır: yalnız həmin girişlər qəbul edilir, başqa heç nə. İşarə olmadan eyni sətir üstünlük sırasıdır və demon istəmədiyiniz bir şeyi seçə bilər. Hər hansı bir şeyi tərcümə etməzdən əvvəl hansı formanın tətbiq olunduğunu soruşun, çünki ikisi eyni müştəriyə qarşı fərqli davranır. Dəqiq sətri işarə daxil olmaqla qeyd edin və ona qarşı sınaqdan keçirin.

Daha geniş siyahı təklif edən müştəri hər iki tərəfdə bir kombinasiya göründüyü müddətcə bərkidilmiş şlüza qoşula bilər. Baş verə bilməyən şey bərkidilmiş çoxluqdan kənarda danışıqdır.

Buna görə başqa VPN tətbiqindən köçürülmüş profil sizinkinin işləmədiyi yerdə işləyə bilər: digər tətbiq fərqli siyahı ilə gəlmişdi.

Adlar uyğun olmalıdır, təkmilləşməməlidir

Dəyərləri strongSwan-dan iOS-a köçürənləri iki tərcümə tutur. IKE təklifində SHA1 kimi yazılan bütövlük alqoritmi kəsilmiş formasında səyahət edir və iOS onu .SHA96 adlandırır. modp1024 kimi yazılan Diffie-Hellman qrupu group 2-dir və iOS onu .group2 adlandırır. SHA-256 və ya group 14 ilə əvəzləmək yalnız köhnə cütü qəbul edən şlüzla danışıq aparmayacaq. Müştəri daha güclü deyil, eyni alqoritmi təsvir etməlidir.

Bu dəyərləri NEVPNProtocolIKEv2 daxilində açıq şəkildə təyin edin. Defoltlar əvəz etdiyiniz profildən geniş və ya dar ola bilər və fərq yalnız əl sıxma uğursuz olduqda görünür.

Uşaq təklifi daha sonra və daha səssiz uğursuz olur

Uşaq təhlükəsizlik assosiasiyasını da IKE ilə birlikdə konfiqurasiya edin. Yalnız IKE parametrləri uyğun gəldikdə tunel autentifikasiyadan keçir və sonra heç bir trafik daşımır, bu isə rədd edilmədən qat-qat səssiz uğursuzluqdur. Uşaq şifrələmə, bütövlük, qrup və müddəti eyni keçiddə təyin edin. Müştəri müddətini şlüz dəyərində və ya ondan aşağı saxlayın, çünki daha uzun müddətdə israr etmək fərqli səbəbdən eyni təklif seçilmədi mesajını yaradır. Oradakı uyğunsuzluq jurnaldakı IKE uyğunsuzluğu ilə eyni görünür.

Konfiqurasiyadaykən profil sertifikatlarla, yoxsa ortaq sirrlə autentifikasiya etdiyini yoxlayın. Təklifin rəddi və autentifikasiya rəddi fərqli sətirlərdə görünür və səhv olanı düzəltmək bir günə başa gəlir. Hər dəyişiklikdən sonra təzə bağlantı ilə sınaqdan keçirin, hər dəfə bir dəyişən, çünki keşlənmiş vəziyyət hansı parametrin dəyişdiyini gizlədir.

Köhnə dəsti yalnız lazım olduğu müddətdə saxlayın

SHA-1-i 1024 bitlik qrupla bərkitmək körpüdür, təyinat deyil. Hər ikisi köhnəlmişdir və daha yeni müştərilər onları tamamilə rədd edə bilər, yəni profil sizin tərəfinizdə heç bir dəyişiklik olmadan növbəti cihazda uğursuz olacaq. Bərkitməni müvəqqəti hesab edin və bunu qeyddə deyin.

strongSwan sizindirsə, müasir təklif əlavə edin və köhnə giriş köhnə cihazlar üçün qaldıqca hər iki tərəf yuxarıya doğru danışıq aparsın. Hər bağlantının faktiki olaraq hansı dəsti istifadə etdiyini görmək üçün demonun status çıxışını oxuyun. Sonra müasir cüt təsdiqləndikdən sonra müştəri tərəfindəki bərkitməni silin. Qalxan tunel kifayət qədər sübut deyil, çünki o, dayandırmağa çalışdığınız dəst üzərində qalxa bilər. strongSwan IKEv2 sənədləri təklif sintaksisini və ciddi markeri təsvir edir.