iOS IKEv2 i strongSwan: dim cynnig wedi ei ddewis, trwsiwch y rhestr

Mae'r iPhone yn codi'r twnnel, mae'r porth yn ateb â dim, ac mae'r ffon yn dangos methiant cyffredinol. Mae log strongSwan yn fwy penodol: dim cynnig wedi ei ddewis. Mae'r neges hon yn golygu na wnaeth y ddwy restr o gyfresi seiffr derbyniol fyth groesi, felly daeth y cyfnewid i ben cyn i'r dilysu ddechrau. Problem gyfateb yw hi, a'r ateb yw gwneud i'r rhestrau groesi.

Lle mae'r porth yn datgan ei bolisi

Mae strongSwan yn ysgrifennu ei bolisi yn y ffurfweddiad, ac mae'r ebychnod ar y diwedd yn penderfynu sut y darllenir y polisi hwnnw. Gyda'r marc mae'r rhestr yn gyflawn: derbynnir y cofnodion hynny a dim arall. Heb y marc mae'r un llinell yn drefn ffafriaeth, a gall y daemon ddewis rhywbeth na fwriedir. Gofynnwch pa ffurf sydd wedi ei defnyddio cyn cyfieithu unrhyw beth, oherwydd mae'r ddau yn ymddwyn yn wahanol tuag at yr un cleient. Cofnodwch yr union linell, y marc yn gynwysedig, a phrofwch yn ei herbyn.

Gall cleient sy'n cynnig rhestr ehangach gysylltu â phorth wedi ei binio o hyd, cyn belled ag y bydd un cyfuniad yn ymddangos ar y ddwy ochr. Yr hyn na all ddigwydd yw trafod y tu allan i'r set binio.

Dyna pam y gall proffil a gopiwyd o ap VPN arall weithio lle nad yw eich un chi yn gwneud: roedd yr ap arall wedi cludo rhestr wahanol.

Rhaid i'r enwau gyfateb, nid gwella

Mae dwy gyfieithiad yn dal pobl sy'n symud gwerthoedd o strongSwan i iOS. Mae'r algorithm cyfanrwydd a ysgrifennir fel SHA1 mewn cynnig IKE yn teithio yn ei ffurf gwtog, y mae iOS yn ei alw'n .SHA96. Mae grwp Diffie-Hellman a ysgrifennir fel modp1024 yn group 2, y mae iOS yn ei alw'n .group2. Ni fydd disodli a SHA-256 neu group 14 yn trafod yn erbyn porth sy'n derbyn y par hŷn yn unig. Rhaid i'r cleient ddisgrifio'r un algorithm, nid un cryfach.

Gosodwch y gwerthoedd hynny'n benodol yn NEVPNProtocolIKEv2. Gall y rhagosodiadau fod yn ehangach neu'n gulach na'r proffil rydych yn ei ddisodli, a dim ond pan fydd yr ysgydwad llaw yn methu y gwelir y gwahaniaeth.

Mae cynnig y plentyn yn methu'n ddiweddarach ac yn dawelach

Ffurfweddwch gymdeithas ddiogelwch y plentyn yn ogystal ag un IKE. Pan fydd dim ond y paramedrau IKE yn cyfateb, mae'r twnnel yn dilysu ac yna'n cario dim traffig, sy'n fethiant llawer tawelach na gwrthodiad. Gosodwch amgryptio, cyfanrwydd, grwp ac oes y plentyn yn yr un tro. Cadwch oes y cleient ar werth y porth neu'n is, oherwydd mae mynnu un hirach yn cynhyrchu'r un neges dim cynnig wedi ei ddewis o achos gwahanol. Mae anghyfateb yno yn edrych yn union yr un fath a anghyfateb IKE yn y log.

Gwiriwch a yw'r proffil yn dilysu â thystysgrifau neu a chyfrinach a rennir tra byddwch yn y ffurfweddiad. Mae gwrthodiad cynnig a gwrthodiad dilysu yn ymddangos ar linellau gwahanol, ac mae trwsio'r un anghywir yn costio diwrnod. Profwch â chysylltiad newydd ar ôl pob newid, un newidyn ar y tro, oherwydd mae cyflwr wedi ei storio yn cuddio pa baramedr a symudodd.

Gadewch y set etifeddol dim ond tra bo ei angen

Mae pinio SHA-1 gyda grwp 1024-bit yn bont, nid yn gyrchfan. Mae'r ddau yn segur, a gall cleientiaid mwy newydd eu gwrthod yn syth, sy'n golygu y bydd y proffil yn methu ar y ddyfais nesaf heb unrhyw newid ar eich ochr chi. Triniwch y pinio fel un dros dro a dywedwch hynny yn y cofnod.

Os strongSwan yw eich un chi, ychwanegwch gynnig modern a gadewch i'r ddwy ochr drafod tuag i fyny tra bo'r cofnod etifeddol yn aros ar gyfer dyfeisiau hŷn. Darllenwch allbwn statws y daemon i weld pa set a ddefnyddiwyd gan bob cysylltiad mewn gwirionedd. Yna tynnwch y pinio ar ochr y cleient unwaith y bydd y par modern wedi ei gadarnhau. Nid yw twnnel sy'n codi yn ddigon o dystiolaeth, oherwydd gall godi ar y set roeddech yn ceisio ei hymddeol. Mae dogfennaeth IKEv2 strongSwan yn disgrifio cystrawen y cynnig a'r marc llym.