iOS отхвърли тунела ви strongSwan: сравнете IKE предложенията

Нищо в сертификата или адреса не обяснява защо iPhone, който миналата година се свързваше със strongSwan, тази година се проваля. Нищо в адреса, предварително споделения ключ или идентичността на клиента не е трябвало да се промени. Промени се списъкът с трансформации, които вграденият клиент на телефона е готов да договаря, и щом този списък спре да се застъпва със списъка на сървъра, размяната приключва, преди нечия идентичност да бъде проверена.

Редът в журнала, който решава

Увеличете журналирането за тази връзка и намерете двата записа, които решават изхода: какво е предложил телефонът и какво е избрал сървърът. Ако журналът свърши без избрано предложение и съобщава, че нищо не е съвпаднало, удостоверяване изобщо не е било опитвано. Нов сертификат и нова парола не променят нищо на този етап, защото и двете се използват по-късно. Нито едно от тях не може да повлияе на резултат, решен преди проверката на идентичността.

Разграничете двете форми на провал, преди да редактирате каквото и да е. Никаква промяна на трансформациите не спасява отхвърлени идентификационни данни, а никакво поправяне на данните не спасява отхвърлена трансформация. Записът в журнала, който посочва избрано предложение, ви казва в кой от двата случая сте. Без този запис вие гадаете.

Избраният ред назовава предложението чрез набора му от трансформации, а не с приятелски етикет. Сравнете полетата за криптиране, цялост и група в този ред със списъка, който телефонът е изпратил, защото несъответствие в което и да е едно поле е достатъчно за загуба.

Какво се промени в телефона

Една версия на iOS отряза алгоритмите, които клиентът ѝ е готов да използва. Слаби хешове за цялост, малки групи Diffie-Hellman и предложения, които изброяват стари опции първи, престанаха да бъдат приемливи.

По-дългите списъци тук не са по-сигурни. Изборът следва приетия набор на телефона и собствения му ред на предпочитания, така че сървър, който обявява широк каталог, пак може да загуби договарянето, когато съвременните записи не са тези, които се избират. Предпочитайте кратък списък със съвременните записи първи. Дълъг списък, който започва със стари опции, кани точно провала, който се опитвате да избегнете. Приетият набор е външно ограничение, което се мести при всяко обновяване на клиента, затова конфигурация, работила вчера, е доказателство за вчера.

Една двойка, която все още се договаря

За настоящите телефони една съвременна комбинация е достатъчна. Една двойка, която се договаря, изглежда така:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Редът ike носи криптирането, цялостта и Diffie-Hellman групата, използвани, докато тече размяната на ключове. Редът esp покрива само канала за данни, защото групата е решена, преди той да се приложи. Презаредете връзката или рестартирайте демона, после свържете телефона отново. Запазете тази стойност на групата само ако всеки клиент, който обслужвате, все още я приема, и не разширявайте предложението за всички, защото един стар партньор се нуждае от повече.

Три места за поправка, едно обикновено е затворено

• Едно съвременно предложение за всеки партньор. Правилно, когато всички клиенти са настоящи телефони и настолни компютри. Изтрива старите трансформации, вместо да договаря около тях.
• Второ определение на връзка за клиенти на Apple. Задържа един стар партньор жив, като същевременно дава на телефона предложение, което приема. Струва още един блок за връзка и прави изключението видимо.
• Смяна на клиента. Рядко ви е отворено: когато система за управление или приложение доставя профила, няма редактор на предложения, който да пипнете, а вграденият клиент не показва такъв.

Изберете втория вариант, когато устройство извън вашия контрол не може да бъде обновено. Изберете първия, когато можете да пенсионирате стария партньор и предпочитате да носите една политика.

И в двата случая изборът е видим в конфигурацията и точно това е смисълът. Тихият отстъп, който се договаря надолу до стара трансформация, е по-лош от явен блок, защото никое ревю никога няма да го извади наяве.

Докажете го, после го запишете

Свържете отново и проверете три отделни факта на сървъра: избрано е предложение, връзката показва установена, и клиентът е получил адрес. Установено ръкостискане без отдалечен адрес сочи към пула или селекторите на трафик и принадлежи в отделна промяна. Третирането на двете заедно прави решено договаряне да изглежда нерешено.

Запишете набора от трансформации, който е бил приет, кога сте го променили и коя версия на клиента сте проверили. Следващото обновяване може да премести изискването отново, а стойностите, които са работили, са първото, което ще искате до новите.