Pam mae IKEv2 ar Android yn methu ar borth UDP ansafonol

Mae’r porth yn ateb IKEv2 ar UDP 4443 am reswm, mae gan y proffil faes o’r enw Server, rydych chi’n teipio enw’r gwesteiwr a’r porth, ac mae’r ffôn yn adrodd na all gyrraedd y gweinydd neu na all ddatrys y cyfeiriad. Nid oes unrhyw beth yn cael ei rwystro. Mae ffurflen frodorol Android yn disgwyl gwesteiwr, ac mae’r un peth yn wir ar Windows. Gallu cleient yw porth cyfaddas cyn iddo fod yn osodiad gweinydd, a dim ond rhai cleientiaid sy’n gadael i chi ei fynegi. Ewch drwy’r tri rhan mewn trefn: beth all y cleient ei ddweud, ar beth mae’r gweinydd yn gwrando, ac a yw’r ddau ben yn ffrâmio’r pecynnau yr un ffordd.

Beth anfonodd y ffôn mewn gwirionedd

Mae llinyn host:port mewn maes a fwriadwyd ar gyfer enw yn cael ei ddatrys fel enw. Nid yw’r datryswr yn dychwelyd dim ar gyfer vpn.example.net:4443, a’r gwall a welwch yw methiant datrys enw neu anghyraeddadwyedd, nid cyfnod amser wedi dod i ben ar borth. Mae’r gwahaniaeth hwnnw’n bwysig, oherwydd ni fydd ailgynnig ag enw byrrach neu rwydwaith wahanol byth yn trwsio llinyn na all y ffurflen ei ddadansoddi.

Mae proffil brodorol IKEv2 ar Android, fel cleient VPN adeiledig Windows, wedi’i osod ar borthladdoedd IKE safonol. Nid oes yr un ohonynt yn datgelu maes porth, ac nid yw unrhyw faint o olygu proffil yn ychwanegu un. Os yw gwrandäwr y gweithredwr mewn gwirionedd ar 4443, y cleient adeiledig yw’r offeryn anghywir, nid un wedi’i ffurfweddu’n wael.

Defnyddiwch gleient sy’n datgelu’r porth

Mae cleient Android strongSwan yn dogfennu porth gweinydd y gellir ei ffurfweddu yn ei osodiadau proffil uwch, a dyna pam mae’n ymddangos ym mron pob rysáit sy’n gweithio ar gyfer y cynllun hwn. Mae’r gefnogaeth honno’n perthyn i’r cleient hwnnw: efallai na fydd ap IKEv2 arall, neu fforc gwerthwr o’r un ap, yn datgelu’r un maes er bod y daemon strongSwan sylfaenol yn ei gefnogi.

Gofynnwch i’r gweithredwr am y set gyfan ar unwaith: enw’r porth, porth UDP, dull dilysu, a hunaniaeth y gweinydd y mae’n rhaid i’r cleient ei disgwyl. Nid yw porth cyfaddas yn rheswm dros analluogi gwirio tystysgrifau nac am newid protocolau. Rhowch y porth lle mae’r cleient sydd wedi’i osod yn ei ddisgwyl, ac os nad oes gan y cleient hwnnw faes o’r fath, yr ateb yw cleient cymeradwy arall yn hytrach na chylch gwaith damcaniaethol.

Mae gan y gweinydd ddau borth, a rhaid i’r ddau gyd-fynd

Mae IKE yn dechrau ar UDP 500, ac mae trawslwybr NAT fel arfer yn symud IKE ac ESP wedi’i amgáu i UDP 4500. Mae’r rhain yn osodiadau ar wahân yn strongSwan, felly mae angen i weinydd a symudwyd i un porth cyfaddas newid y ddau i’r un gwerth:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Gydag un porth ar gyfer y ddau rôl, rhaid i’r daemon wahaniaethu IKE oddi wrth ESP-mewn-UDP ar yr un soced, ac mae’n gwneud hynny drwy’r marciwr pedwar beit nad yw’n ESP ac sy’n rhagflaenu neges IKE. Dyna pam na all cleient drafod ar y porth cyfaddas ac yna parhau’n dawel ar 4500, a dyna pam mae’r ymadrodd “newidiwch y porth yn unig” yn cuddio gofyniad ffrâmio.

Nid yw anfon ymlaen yn wrandäwr

Anfon 4443 ymlaen at wrandäwr IKE cyffredin yw’r modd methu sy’n edrych bron yn llwyddiannus. Daw’r cyfnewid cyntaf, mae’r gweinydd yn ateb, ac yna mae’r cysylltiad yn stopio neu’n ailgynhyrchu allweddi i ddim, oherwydd bod yr ateb yn gadael o borth gwahanol ac nad yw’r traffig amgaeedig diweddarach byth yn cyfateb i’r cyflwr a greodd y ddau ben. Mae rheol sy’n ailysgrifennu’r porth cyrchfan heb symud y gwrandäwr yn cynhyrchu’n union y canlyniad hanner-agored hwn.

Rhaid i’r llwybr ganiatáu UDP o ben bwy gilydd hefyd. Nid yw TCP 443 yn tramwyo rhwydwaith gwesty neu gludwr yn dweud dim am IKEv2 ar borth UDP, hyd yn oed un â’r un rhif. Lle mai dim ond TCP 443 a ganiateir, nid yw porth UDP cyfaddas yn troi IKEv2 yn HTTPS, a gall yr ateb cywir fod yn lwybr mynediad gwahanol yn hytrach nag arbrawf porth arall.

Gwahanwch y tri cham pan fyddwch yn profi

Cofnodwch ar y gweinydd tra bo’r cleient yn ceisio unwaith. Cwestiwn pen y pen neu fur mur yw cais nad yw byth yn cyrraedd; cwestiwn gwrandäwr neu bolisi yw cais sy’n cyrraedd heb ateb; y cwestiwn ffrâmio neu hunaniaeth yw ateb sy’n cael ei ddilyn gan ddistawrwydd.

tcpdump -ni eth0 -vv udp port 4443

Yna darllenwch neges y cleient yn hytrach na’i olwyn droelli. Mae gwall cynnig yn golygu nad yw’r algorithmau’n cytuno, mae methiant dilysu yn golygu nad yw’r hunaniaethau neu’r tystysgrifau’n cytuno, ac mae ail-drosglwyddiadau dro ar ôl tro heb ymateb yn golygu nad oes dim yn ateb ar y porth hwnnw. Profwch un cam ar y tro a newidiwch un maes rhwng ymdrechion; mae dogfennaeth strongSwan ar drafnidiaeth NAT yn disgrifio’r marciwr a’r ymddygiad porth y mae’r cofnod yn eu dangos i chi.