iOS IKEv2 prema strongSwan: nijedan prijedlog nije odabran, popravite listu

iPhone podiže tunel, gateway odgovara ničim, a telefon prikazuje opću grešku. strongSwanov dnevnik je konkretniji: nijedan prijedlog nije odabran. Ta poruka znači da se dvije liste prihvatljivih šifarskih skupova nikada nisu preklopile, pa je razmjena završila prije nego što je autentifikacija počela. To je problem poklapanja, a rješenje je učiniti da se liste sijeku.

Gdje gateway iznosi svoju politiku

strongSwan zapisuje svoju politiku u konfiguraciji, a uzvičnik na kraju odlučuje kako se ta politika čita. S oznakom lista je iscrpna: prihvatit će se ti unosi i ništa drugo. Bez nje isti redak je redoslijed preferencija, a daemon može odabrati nešto što niste namjeravali. Pitajte koja je forma raspoređena prije nego što bilo što prevedete, jer se dvije ponašaju različito prema istom klijentu. Zapišite točan redak, uključujući oznaku, i testirajte prema njemu.

Klijent koji nudi širu listu ipak se može spojiti na prikovan gateway, sve dok se jedna kombinacija pojavljuje na obje strane. Ono što se ne može dogoditi jest pregovaranje izvan prikovanog skupa.

Zato profil kopiran iz druge VPN aplikacije može raditi tamo gdje vaš ne radi: druga aplikacija je isporučila drukčiju listu.

Imena se moraju poklopiti, a ne poboljšati

Dva prijevoda uhvate ljude koji prenose vrijednosti iz strongSwana u iOS. Algoritam integriteta zapisan kao SHA1 u IKE prijedlogu putuje u skraćenom obliku koji iOS naziva .SHA96. Diffie-Hellmanova grupa zapisana kao modp1024 je group 2, koju iOS naziva .group2. Zamjena sa SHA-256 ili group 14 neće pregovarati s gatewayem koji prihvaća samo stariji par. Klijent mora opisati isti algoritam, a ne jači.

Postavite te vrijednosti izričito u NEVPNProtocolIKEv2. Zadane vrijednosti mogu biti šire ili uže od profila koji zamjenjujete, a razlika se pokaže tek kada rukovanje ne uspije.

Prijedlog djeteta ne uspijeva kasnije i tiše

Konfigurirajte sigurnosnu asocijaciju djeteta kao i onu za IKE. Kada se poklope samo IKE parametri, tunel se autentificira i zatim ne nosi promet, što je mnogo tiši neuspjeh od odbijanja. Postavite enkripciju, integritet, grupu i životni vijek djeteta u istom prolazu. Držite životni vijek klijenta na vrijednosti gatewaya ili niže, jer inzistiranje na duljem daje istu poruku o neodabranom prijedlogu iz drugog uzroka. Nepoklapanje tamo izgleda identično nepoklapanju IKE-a u dnevniku.

Provjerite autentificira li se profil certifikatima ili zajedničkom tajnom dok ste u konfiguraciji. Odbijanje prijedloga i odbijanje autentifikacije pojavljuju se na različitim recima, a popravljanje pogrešnog košta dan. Testirajte svježom vezom nakon svake promjene, jednu varijablu odjednom, jer predmemorirano stanje skriva koji se parametar pomaknuo.

Ostavite naslijeđeni skup samo dok je potreban

Prikivanje SHA-1 uz 1024-bitnu grupu je most, a ne odredište. Oboje je zastarjelo, a noviji klijenti mogu ih odbiti posve, što znači da će profil pasti na sljedećem uređaju bez ikakve promjene na vašoj strani. Tretirajte prikivanje kao privremeno i recite to u zapisu.

Ako je strongSwan vaš, dodajte moderni prijedlog i pustite obje strane da pregovaraju prema gore dok naslijeđeni unos ostaje za starije uređaje. Pročitajte izlaz statusa daemona da vidite koji je skup svaka veza stvarno koristila. Zatim uklonite prikivanje na strani klijenta nakon što se moderni par potvrdi. Tunel koji se podigne nije dovoljan dokaz, jer se može podići na skupu koji ste pokušavali umiroviti. strongSwanova dokumentacija za IKEv2 opisuje sintaksu prijedloga i strogu oznaku.