iOS адхіліў ваш тунель strongSwan: параўнайце прапановы IKE

Нішто ў сертыфікаце або адрасе не тлумачыць, чаму iPhone, які летась падключаўся да strongSwan, сёлета не працуе. Нічога ў адрасе, папярэдне агульным ключы або ідэнтычнасці кліента не павінна было змяніцца. Змяніўся спіс пераўтварэнняў, якія ўбудаваны кліент тэлефона гатовы ўзгадняць, і як толькі гэты спіс перастае перакрывацца са спісам сервера, абмен завяршаецца, перш чым чыя-небудзь ідэнтычнасць будзе праверана.

Радок журнала, які вырашае

Павялічце ўзровень журнала для гэтага злучэння і знайдзіце два запісы, якія вызначаюць вынік: што прапанаваў тэлефон і што выбраў сервер. Калі журнал заканчваецца без выбранай прапановы і паведамляе, што нічога не супала, аўтэнтыфікацыя нават не пачыналася. Новы сертыфікат і новы пароль на гэтым этапе нічога не зменяць, бо абодва выкарыстоўваюцца пазней. Ні адзін з іх не можа паўплываць на вынік, які быў вызначаны да праверкі ідэнтычнасці.

Адрознівайце дзве формы збою, перш чым нешта рэдагаваць. Ніякае змяненне пераўтварэнняў не выратуе адхіленыя ўліковыя даныя, і ніякае выпраўленне ўліковых даных не выратуе адхіленае пераўтварэнне. Запіс у журнале, які называе выбраную прапанову, паказвае, у якім з двух выпадкаў вы знаходзіцеся. Без гэтага запісу вы гадаеце.

Выбраны радок называе прапанову праз яе набор пераўтварэнняў, а не праз зручную назву. Параўнайце палі шыфравання, цэласнасці і групы у гэтым радку са спісам, які даслаў тэлефон, бо разыходжанне ў любым адным полі дастатковае, каб прайграць.

Што змянілася ў тэлефоне

Адно з абнаўленняў iOS скараціла набор алгарытмаў, якія яго кліент гатовы выкарыстоўваць. Слабыя хэшы цэласнасці, малыя групы Diffie-Hellman і прапановы, дзе старыя опцыі пералічаны першымі, перасталі быць прымальнымі.

Даўжэйшыя спісы тут не бяспечнейшыя. Выбар ідзе за прынятым наборам тэлефона і яго ўласным парадкам пераваг, таму сервер, які абвяшчае шырокі каталог, усё яшчэ можа прайграць узгадненне, калі сучасныя запісы не тыя, што выбіраюцца. Аддавайце перавагу кароткаму спісу з сучаснымі запісамі наперадзе. Доўгі спіс, які пачынаецца са старых опцый, запрашае менавіта той збой, які вы спрабуеце пазбегнуць. Прыняты набор — гэта знешняе абмежаванне, якое рухаецца пры кожным абнаўленні кліента, таму канфігурацыя, што працавала ўчора, — доказ пра ўчора.

Адна пара, якая яшчэ ўзгадняецца

Для сучасных тэлефонаў дастаткова адной сучаснай камбінацыі. Адна пара, якая ўзгадняецца, выглядае так:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Радок ike нясе шыфраванне, цэласнасць і групу Diffie-Hellman, што выкарыстоўваюцца, пакуль ідзе абмен ключамі. Радок esp ахоплівае толькі канал даных, бо група вызначана раней, чым ён пачынае дзейнічаць. Перазагрузіце злучэнне або перазапусціце дэман, затым падключыце тэлефон зноў. Пакідайце гэта значэнне групы, толькі калі кожны кліент, якому вы служыце, яго яшчэ прымае, і не пашырайце прапанову для ўсіх праз тое, што аднаму старому партнёру трэба больш.

Тры месцы для выпраўлення, адно звычайна зачынена

• Адна сучасная прапанова для кожнага партнёра. Слушна, калі ўсе кліенты — сучасныя тэлефоны і настольныя камп'ютары. Гэта выдаляе старыя пераўтварэнні, а не ўзгадняе вакол іх.
• Другое азначэнне злучэння для кліентаў Apple. Трымае аднаго старога партнёра жывым, даючы тэлефону прапанову, якую ён прымае. Каштуе яшчэ адзін блок злучэння і робіць выключэнне бачным.
• Змена кліента. Рэдка вам даступна: калі сістэма кіравання або праграма пастаўляе профіль, няма рэдактара прапаноў, да якога дакрануцца, і ўбудаваны кліент такога не паказвае.

Выберыце другі варыянт, калі прыладу па-за вашым кантролем нельга абнавіць. Выберыце першы, калі можаце адправіць старога партнёра на спакой і аддаяце перавагу адной палітыцы.

Так ці інакш, выбар бачны ў канфігурацыі, і ў гэтым сутнасць. Ціхі адкат, які ўзгадняецца ўніз да старога пераўтварэння, горш за яўны блок, бо ніякі агляд ніколі яго не выявіць.

Дакажыце гэта, потым запішыце

Падключыцеся зноў і праверце тры асобныя факты на серверы: прапанова выбрана, злучэнне паказвае ўсталяваным, і кліент атрымаў адрас. Усталяванае рукапоцісканне без аддаленага адраса паказвае на пул або селектары трафіку, і яму месца ў асобным змяненні. Разгляд абодвух разам робіць вырашанае ўзгадненне падобным на невырашанае.

Запішыце набор пераўтварэнняў, які быў прыняты, калі вы яго змянілі і якую зборку кліента праверылі. Наступнае абнаўленне можа зноў зрушыць патрабаванне, і значэнні, што працавалі, — першае, што вам спатрэбіцца побач з новымі.