Gwrthododd iOS eich twrnel strongSwan: cymharwch y cynigion IKE

Nid oes dim yn y dystysgrif na'r cyfeiriad yn esbonio pam mae iPhone a gysylltai â strongSwan y llynedd yn methu eleni. Nid oes raid i ddim yn y cyfeiriad, y goriad a rennir ymlaen llaw na hunaniaeth y cleient fod wedi newid. Yr hyn a symudodd yw'r rhestr o drawsffurfiadau y mae cleient mewnol y ffôn yn barod i'w trafod, ac unwaith y bydd y rhestr honno'n peidio â thrososod â rhestr y gweinydd, daw'r gyfnewidfa i ben cyn i hunaniaeth unrhyw un gael ei harchwilio.

Y llinell yn y log sy'n penderfynu

Codwch lefel y log ar gyfer y cysylltiad hwnnw a darganfyddwch y ddau gofnod sy'n penderfynu'r canlyniad: beth gynigiodd y ffôn a beth a ddewisodd y gweinydd. Os yw'r log yn gorffen heb gynnig a ddewiswyd ac yn adrodd na chyfatebodd dim, ni chafwyd cynnig dilysu o gwbl. Nid yw tystysgrif newydd a chyfrinair newydd yn newid dim ar y pwynt hwnnw, oherwydd defnyddir y ddau yn ddiweddarach. Ni all y naill na'r llall ddylanwadu ar ganlyniad a benderfynwyd cyn archwilio hunaniaeth.

Cadwch y ddau siâp methiant ar wahân cyn golygu unrhyw beth. Nid yw unrhyw olygiad i'r trawsffurfiadau yn achub manylion mewngofnodi a wrthodwyd, ac nid yw unrhyw drwsio i'r manylion yn achub trawsffurfiad a wrthodwyd. Y cofnod log sy'n enwi cynnig a ddewiswyd sy'n dweud wrthych ym mha un o'r ddau ych chi. Heb y cofnod hwnnw, yr ydych yn dyfalu.

Mae'r llinell a ddewiswyd yn enwi'r cynnig drwy ei set o drawsffurfiadau yn hytrach na label cyfeillgar. Cymharwch y meysydd amgryptio, cywirdeb a grŵp yn y llinell honno â'r rhestr a anfonodd y ffôn, oherwydd mae anghysondeb mewn unrhyw un maes yn ddigon i golli.

Beth a newidiodd ar y ffôn

Torrodd un fersiwn o iOS y algorithmau y mae ei gleient yn barod i'w defnyddio. Daeth hashes cywirdeb gwan, grwpiau Diffie-Hellman bach, a chynigion sy'n rhestru opsiynau hen yn gyntaf yn annerbyniol.

Nid yw rhestrau hirach yn fwy diogel yma. Mae'r dewis yn dilyn set a dderbynnir y ffôn a'i drefn ffafriaeth ei hun, felly gall gweinydd sy'n hysbysebu catalog eang golli'r drafodaeth o hyd pan nad yr eitemau modern yw'r rhai a ddewisir. Byddwch yn ffafrio rhestr fer gyda'r eitemau modern ar y blaen. Mae rhestr hir sy'n dechrau ag opsiynau hen yn gwahodd yn union y methiant yr ydych yn ceisio ei osgoi. Mae'r set a dderbynnir yn gyfyngiad allanol sy'n symud bob tro y bydd y cleient yn diweddaru, felly mae cyfluniad a weithiodd ddoe yn dystiolaeth am ddoe.

Un pâr sy'n dal i drafod

Ar gyfer ffonau cyfredol mae un cyfuniad modern yn ddigon. Mae un pâr sy'n trafod yn edrych fel hyn:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Mae'r llinell ike yn cario'r amgryptio, y cywirdeb a'r grŵp Diffie-Hellman a ddefnyddir tra bo'r gyfnewidfa allweddi yn rhedeg. Mae'r llinell esp yn cwmpasu'r sianel ddata yn unig, oherwydd penderfynwyd ar y grŵp cyn iddi fod yn berthnasol. Ail-lwythwch y cysylltiad neu ailgychwynnwch y daemon, yna ailgysylltwch y ffôn. Cadwch y gwerth grŵp hwnnw dim ond os yw pob cleient yr ydych yn ei wasanaethu yn dal i'w dderbyn, ac na ehangu'r cynnig i bawb oherwydd bod un pâr hen angen mwy.

Tri lle i'w drwsio, un fel arfer ar gau

• Un cynnig modern ar gyfer pob pâr. Cywir pan fo pob cleient yn ffôn a desg cyfredol. Mae'n dileu'r trawsffurfiadau hen yn lle trafod o'u cwmpas.
• Ail ddiffiniad cysylltiad ar gyfer cleientiaid Apple. Yn cadw un pâr hen yn fyw tra'n rhoi cynnig i'r ffôn y mae'n ei dderbyn. Mae'n costio bloc cysylltiad arall ac yn gwneud yr eithriad yn weladwy.
• Newid y cleient. Anaml ar agor i chi: pan fydd system reoli neu ap yn cyflenwi'r proffil, nid oes golygydd cynigion i'w gyffwrdd, ac nid yw'r cleient mewnol yn datgelu un.

Dewiswch yr ail opsiwn pan na ellir diweddaru dyfais y tu allan i'ch rheolaeth. Dewiswch yr un cyntaf pan allwch ymddeol y pâr hen ac yn well gennych gario un polisi.

Naill ffordd neu'r llall mae'r dewis yn weladwy yn y cyfluniad, a dyna'r pwynt. Mae cwymp distaw sy'n trafod i lawr i drawsffurfiad hen yn waeth nag bloc eglur, oherwydd ni fydd unrhyw adolygiad byth yn ei ddwyn i'r amlwg.

Profwch hynny, yna cofnodwch ef

Ailgysylltwch a gwirio tri ffaith ar wahân ar y gweinydd: dewiswyd cynnig, mae'r cysylltiad yn dangos fel wedi'i sefydlu, a chafodd y cleient gyfeiriad. Mae handshake wedi'i sefydlu heb gyfeiriad pell yn pwyntio at y pwll neu'r dewiswyr traffig, ac mae'n perthyn i newid ar wahân. Mae trin y ddau gyda'i gilydd yn gwneud trafodaeth a ddatryswyd yn edrych yn annatrys.

Nodwch y set drawsffurfio a dderbyniwyd, pryd y gwnaethoch ei newid a pha adeiladwaith cleient a wiriwyd gennych. Gall y diweddariad nesaf symud y gofyniad eto, a'r gwerthoedd a weithiodd yw'r peth cyntaf y byddwch am ei gael wrth ymyl y rhai newydd.