iOS IKEv2 σε strongSwan: καμία πρόταση δεν επιλέχθηκε, διορθώστε τη λίστα

Το iPhone σηκώνει τη σήραγγα, η πύλη απαντά με τίποτα και το τηλέφωνο δείχνει ένα γενικό σφάλμα. Το αρχείο καταγραφής του strongSwan είναι πιο συγκεκριμένο: καμία πρόταση δεν επιλέχθηκε. Αυτό το μήνυμα σημαίνει ότι οι δύο λίστες αποδεκτών σουιτών κρυπτογράφησης δεν επικαλύφθηκαν ποτέ, οπότε η ανταλλαγή τελείωσε πριν αρχίσει η πιστοποίηση. Είναι πρόβλημα αντιστοίχισης και η λύση είναι να τέμνονται οι λίστες.

Πού δηλώνει η πύλη την πολιτική της

Το strongSwan γράφει την πολιτική του στη διαμόρφωση και το θαυμαστικό στο τέλος καθορίζει πώς διαβάζεται αυτή η πολιτική. Με το σημάδι η λίστα είναι εξαντλητική: γίνονται δεκτές αυτές οι καταχωρίσεις και τίποτε άλλο. Χωρίς αυτό, η ίδια γραμμή είναι σειρά προτίμησης και ο δαίμονας μπορεί να διαλέξει κάτι που δεν σκοπεύατε. Ρωτήστε ποια μορφή έχει αναπτυχθεί πριν μεταφράσετε οτιδήποτε, γιατί οι δύο συμπεριφέρονται διαφορετικά στον ίδιο πελάτη. Καταγράψτε την ακριβή γραμμή, μαζί με το σημάδι, και δοκιμάστε απέναντί της.

Ένας πελάτης που προσφέρει ευρύτερη λίστα μπορεί ακόμη να συνδεθεί σε καρφιτσωμένη πύλη, αρκεί ένας συνδυασμός να εμφανίζεται και στις δύο πλευρές. Αυτό που δεν μπορεί να συμβεί είναι διαπραγμάτευση έξω από το καρφιτσωμένο σύνολο.

Γι αυτό ένα προφίλ αντιγραμμένο από άλλη εφαρμογή VPN μπορεί να δουλέψει εκεί όπου το δικό σας δεν δουλεύει: η άλλη εφαρμογή έφερνε διαφορετική λίστα.

Τα ονόματα πρέπει να ταιριάζουν, όχι να βελτιώνονται

Δύο μεταφράσεις πιάνουν όσους μεταφέρουν τιμές από το strongSwan στο iOS. Ο αλγόριθμος ακεραιότητας που γράφεται SHA1 σε μια πρόταση IKE ταξιδεύει στην περικομμένη του μορφή, την οποία το iOS ονομάζει .SHA96. Η ομάδα Diffie-Hellman που γράφεται modp1024 είναι group 2, την οποία το iOS ονομάζει .group2. Η αντικατάσταση με SHA-256 ή group 14 δεν θα διαπραγματευτεί απέναντι σε πύλη που δέχεται μόνο το παλαιότερο ζεύγος. Ο πελάτης πρέπει να περιγράφει τον ίδιο αλγόριθμο, όχι ισχυρότερο.

Ορίστε αυτές τις τιμές ρητά στο NEVPNProtocolIKEv2. Οι προεπιλογές μπορεί να είναι ευρύτερες ή στενότερες από το προφίλ που αντικαθιστάτε και η διαφορά φαίνεται μόνο όταν αποτύχει η χειραψία.

Η πρόταση του παιδιού αποτυγχάνει αργότερα και πιο ήσυχα

Διαμορφώστε τη συσχέτιση ασφαλείας του παιδιού όπως και αυτή του IKE. Όταν ταιριάζουν μόνο οι παράμετροι IKE, η σήραγγα πιστοποιείται και μετά δεν μεταφέρει καθόλου κίνηση, που είναι πολύ πιο ήσυχη αποτυχία από μια άρνηση. Ορίστε κρυπτογράφηση, ακεραιότητα, ομάδα και διάρκεια ζωής του παιδιού στο ίδιο πέρασμα. Κρατήστε τη διάρκεια ζωής του πελάτη στην τιμή της πύλης ή χαμηλότερα, γιατί η επιμονή σε μεγαλύτερη παράγει το ίδιο μήνυμα για ανεπιτυχή επιλογή πρότασης από άλλη αιτία. Μια αναντιστοιχία εκεί φαίνεται ίδια με αναντιστοιχία IKE στο αρχείο.

Ελέγξτε αν το προφίλ πιστοποιείται με πιστοποιητικά ή με κοινό μυστικό όσο βρίσκεστε στη διαμόρφωση. Μια απόρριψη πρότασης και μια απόρριψη πιστοποίησης εμφανίζονται σε διαφορετικές γραμμές και η διόρθωση της λάθος κοστίζει μια μέρα. Δοκιμάστε με φρέσκια σύνδεση μετά από κάθε αλλαγή, μία μεταβλητή κάθε φορά, γιατί η προσωρινή κατάσταση κρύβει ποια παράμετρος κινήθηκε.

Αφήστε το παλαιό σύνολο μόνο όσο χρειάζεται

Το καρφίτσωμα του SHA-1 με ομάδα 1024 bit είναι γέφυρα, όχι προορισμός. Και τα δύο είναι παρωχημένα και νεότεροι πελάτες μπορεί να τα απορρίψουν εντελώς, που σημαίνει ότι το προφίλ θα αποτύχει στην επόμενη συσκευή χωρίς καμία αλλαγή από την πλευρά σας. Θεωρήστε το καρφίτσωμα προσωρινό και πείτε το στην καταγραφή.

Αν το strongSwan είναι δικό σας, προσθέστε μια σύγχρονη πρόταση και αφήστε τις δύο πλευρές να διαπραγματεύονται προς τα πάνω όσο η παλαιά καταχώριση μένει για παλαιότερες συσκευές. Διαβάστε την έξοδο κατάστασης του δαίμονα για να δείτε ποιο σύνολο χρησιμοποίησε πραγματικά κάθε σύνδεση. Στη συνέχεια αφαιρέστε το καρφίτσωμα από την πλευρά του πελάτη μόλις επιβεβαιωθεί το σύγχρονο ζεύγος. Μια σήραγγα που σηκώνεται δεν είναι αρκετή απόδειξη, γιατί μπορεί να σηκωθεί στο σύνολο που προσπαθούσατε να αποσύρετε. Η τεκμηρίωση του strongSwan για το IKEv2 περιγράφει τη σύνταξη των προτάσεων και τον αυστηρό δείκτη.