Το iOS απέρριψε τη σήραγγά σας strongSwan: συγκρίνετε τις προτάσεις IKE

Τίποτα στο πιστοποιητικό ή στη διεύθυνση δεν εξηγεί γιατί ένα iPhone που πέρυσι συνδεόταν με το strongSwan αποτυγχάνει φέτος. Τίποτα στη διεύθυνση, στο προκοινοποιημένο κλειδί ή στην ταυτότητα του πελάτη δεν χρειάστηκε να αλλάξει. Αυτό που μετακινήθηκε είναι η λίστα των μετασχηματισμών που ο ενσωματωμένος πελάτης του τηλεφώνου είναι πρόθυμος να διαπραγματευτεί, και όταν αυτή η λίστα πάψει να επικαλύπτεται με τη λίστα του διακομιστή, η ανταλλαγή τελειώνει πριν εξεταστεί η ταυτότητα οποιουδήποτε.

Η γραμμή του αρχείου καταγραφής που το κρίνει

Ανεβάστε την καταγραφή για αυτή τη σύνδεση και βρείτε τις δύο εγγραφές που κρίνουν το αποτέλεσμα: τι πρόσφερε το τηλέφωνο και τι επέλεξε ο διακομιστής. Αν το αρχείο τελειώσει χωρίς επιλεγμένη πρόταση και αναφέρει ότι τίποτα δεν ταίριαξε, η αυθεντικοποίηση δεν δοκιμάστηκε ποτέ. Ένα νέο πιστοποιητικό και ένας νέος κωδικός δεν αλλάζουν τίποτα σε εκείνο το σημείο, γιατί και τα δύο καταναλώνονται σε μεταγενέστερο στάδιο. Κανένα από τα δύο δεν μπορεί να επηρεάσει αποτέλεσμα που κρίθηκε πριν εξεταστεί η ταυτότητα.

Κρατήστε τις δύο μορφές αποτυχίας χωριστά πριν επεξεργαστείτε οτιδήποτε. Καμία αλλαγή στους μετασχηματισμούς δεν σώζει απορριφθέντα διαπιστευτήρια, και καμία διόρθωση των διαπιστευτηρίων δεν σώζει απορριφθέντα μετασχηματισμό. Η εγγραφή του αρχείου που ονομάζει επιλεγμένη πρόταση σας λέει σε ποια από τις δύο περιπτώσεις βρίσκεστε. Χωρίς αυτή την εγγραφή, μαντεύετε.

Η επιλεγμένη γραμμή ονομάζει την πρόταση με το σύνολο μετασχηματισμών της και όχι με φιλική ετικέτα. Συγκρίνετε τα πεδία κρυπτογράφησης, ακεραιότητας και ομάδας σε εκείνη τη γραμμή με τη λίστα που έστειλε το τηλέφωνο, γιατί μια απόκλιση σε ένα και μόνο πεδίο αρκεί για να χαθεί η διαπραγμάτευση.

Τι άλλαξε στο τηλέφωνο

Μια έκδοση του iOS περιόρισε τους αλγόριθμους που ο πελάτης του είναι πρόθυμος να χρησιμοποιήσει. Αδύναμα hashes ακεραιότητας, μικρές ομάδες Diffie-Hellman και προτάσεις που απαριθμούν παλιές επιλογές πρώτες έπαψαν να είναι αποδεκτές.

Οι μακρύτερες λίστες δεν είναι ασφαλέστερες εδώ. Η επιλογή ακολουθεί το αποδεκτό σύνολο του τηλεφώνου και τη δική του σειρά προτίμησης, οπότε ένας διακομιστής που διαφημίζει ευρύ κατάλογο μπορεί να χάσει τη διαπραγμάτευση όταν οι σύγχρονες εγγραφές δεν είναι αυτές που επιλέγονται. Προτιμήστε μια σύντομη λίστα με τις σύγχρονες εγγραφές πρώτες. Μια μακριά λίστα που ανοίγει με παλιές επιλογές προσκαλεί ακριβώς την αποτυχία που προσπαθείτε να αποφύγετε. Το αποδεκτό σύνολο είναι ένας εξωτερικός περιορισμός που μετακινείται με κάθε ενημέρωση του πελάτη, άρα μια διαμόρφωση που δούλευε χθες είναι απόδειξη για το χθες.

Ένα ζεύγος που ακόμη διαπραγματεύεται

Για τα σημερινά τηλέφωνα αρκεί ένας σύγχρονος συνδυασμός. Ένα ζεύγος που διαπραγματεύεται μοιάζει έτσι:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Η γραμμή ike μεταφέρει την κρυπτογράφηση, την ακεραιότητα και την ομάδα Diffie-Hellman που χρησιμοποιούνται όσο τρέχει η ανταλλαγή κλειδιών. Η γραμμή esp καλύπτει μόνο το κανάλι δεδομένων, γιατί η ομάδα καθορίστηκε πριν αυτή ισχύσει. Επαναφορτώστε τη σύνδεση ή επανεκκινήστε τον δαίμονα και μετά συνδέστε ξανά το τηλέφωνο. Κρατήστε αυτή την τιμή ομάδας μόνο αν κάθε πελάτης που εξυπηρετείτε την αποδέχεται ακόμη, και μην διευρύνετε την πρόταση για όλους επειδή ένας παλιός ομότιμος χρειάζεται περισσότερα.

Τρία σημεία για διόρθωση, ένα συνήθως κλειστό

• Μία σύγχρονη πρόταση για κάθε ομότιμο. Σωστό όταν όλοι οι πελάτες είναι σημερινά τηλέφωνα και επιτραπέζιοι. Διαγράφει τους παλιούς μετασχηματισμούς αντί να διαπραγματεύεται γύρω τους.
• Ένας δεύτερος ορισμός σύνδεσης για πελάτες Apple. Κρατά ζωντανό έναν παλιό ομότιμο δίνοντας στο τηλέφωνο μια πρόταση που δέχεται. Κοστίζει ένα ακόμη μπλοκ σύνδεσης και κάνει την εξαίρεση ορατή.
• Αλλαγή του πελάτη. Σπάνια ανοιχτό σε εσάς: όταν ένα σύστημα διαχείρισης ή μια εφαρμογή διανέμει το προφίλ, δεν υπάρχει επεξεργαστής προτάσεων για να αγγίξετε, και ο ενσωματωμένος πελάτης δεν εκθέτει κανέναν.

Επιλέξτε τη δεύτερη επιλογή όταν μια συσκευή εκτός του ελέγχου σας δεν μπορεί να ενημερωθεί. Επιλέξτε την πρώτη όταν μπορείτε να αποσύρετε τον παλιό ομότιμο και προτιμάτε να φέρετε μία πολιτική.

Όπως και να έχει, η επιλογή είναι ορατή στη διαμόρφωση, και αυτό είναι το νόημα. Μια σιωπηλή υποχώρηση που διαπραγματεύεται προς τα κάτω σε παλιό μετασχηματισμό είναι χειρότερη από ένα ρητό μπλοκ, γιατί καμία αναθεώρηση δεν θα την φέρει ποτέ στην επιφάνεια.

Αποδείξτε το και μετά καταγράψτε το

Συνδεθείτε ξανά και ελέγξτε τρία ξεχωριστά γεγονότα στον διακομιστή: επιλέχθηκε πρόταση, η σύνδεση εμφανίζεται ως εδραιωμένη και ο πελάτης έλαβε διεύθυνση. Μια εδραιωμένη χειραψία χωρίς απομακρυσμένη διεύθυνση δείχνει στη δεξαμενή ή στους επιλογείς κίνησης και ανήκει σε δική της αλλαγή. Η μεταχείριση των δύο μαζί κάνει μια λυμένη διαπραγμάτευση να φαίνεται άλυτη.

Καταγράψτε το σύνολο μετασχηματισμών που έγινε δεκτό, πότε το αλλάξατε και ποια έκδοση πελάτη επαληθεύσατε. Η επόμενη ενημέρωση μπορεί να μετακινήσει ξανά την απαίτηση, και οι τιμές που δούλεψαν είναι το πρώτο πράγμα που θα θέλετε δίπλα στις νέες.