iOS lükkas teie strongSwan-tunneli tagasi: võrrelge IKE-pakkumisi

Miski sertifikaadis ega aadressis ei selgita, miks iPhone, mis eelmisel aastal strongSwani külge ühendus, sel aastal ei õnnestu. Aadressis, eeljagatud võtmes ega kliendi identiteedis ei pidanud midagi muutuma. Muutus transformatsioonide loend, mille üle telefoni sisseehitatud klient on valmis läbirääkimisi pidama, ja kui see loend lakkab serveri omaga kattumast, lõpeb vahetus enne, kui kellegi identiteeti uuritakse.

Logirida, mis selle otsustab

Keerake selle ühenduse logimist juurde ja leidke kaks kannet, mis tulemuse otsustavad: mida telefon pakkus ja mille server valis. Kui logi lõpeb ilma valitud pakkumiseta ja teatab, et miski ei sobinud, ei proovitud autentimist üldse. Uus sertifikaat ja uus parool ei muuda selles punktis midagi, sest mõlemad kuluvad hilisemas etapis. Kumbki neist ei saa mõjutada tulemust, mis otsustati enne identiteedi uurimist.

Hoidke kaks rikkeliiki enne mis tahes muudatust lahus. Ükski transformatsioonide muudatus ei päästa tagasilükatud volitusi ja ükski volituste parandus ei päästa tagasilükatud transformatsiooni. Valitud pakkumise nimetav logikanne ütleb teile, kummas kahest te olete. Ilma selle kandenäiteta te oletate.

Valitud rida nimetab pakkumist selle transformatsioonikomplekti järgi, mitte sõbraliku sildi järgi. Võrrelge krüpteerimise, terviklikkuse ja grupi välju selles reas telefonist saadetud loendiga, sest erinevus ükskõik millises ühes väljas on kaotamiseks piisav.

Mis telefonis muutus

Üks iOS-i väljalase kärpis algoritme, mida selle klient on valmis kasutama. Nõrgad terviklikkuse räsid, väikesed Diffie-Hellmani grupid ja pakkumised, mis loetlevad vanu valikuid esimesena, lakkasid olemast vastuvõetavad.

Pikemad loendid ei ole siin turvalisemad. Valik järgib telefoni vastuvõetud kogumit ja selle enda eelistuste järjekorda, nii et laia kataloogi kuulutav server võib ikkagi läbirääkimise kaotada, kui kaasaegsed kanded ei ole need, mis valitakse. Eelistage lühikest loendit, kus kaasaegsed kanded on ees. Pikk loend, mis algab vanade valikutega, kutsub esile täpselt selle rikke, mida püüate vältida. Vastuvõetud kogum on väline piirang, mis liigub iga kliendi uuendusega, seega eile töötanud konfiguratsioon on tõend eilse kohta.

Üks paar, mis ikka veel läbiräägib

Praeguste telefonide jaoks piisab ühest kaasaegsest kombinatsioonist. Üks läbirääkiv paar näeb välja selline:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike rida kannab krüpteerimist, terviklikkust ja Diffie-Hellmani gruppi, mida kasutatakse võtmevahetuse ajal. esp rida katab ainult andmekanalit, sest grupp otsustati enne, kui see kehtima hakkab. Laadige ühendus uuesti või taaskäivitage deemon, seejärel ühendage telefon uuesti. Hoidke seda grupi väärtust ainult siis, kui iga klient, keda teenindate, seda veel aktsepteerib, ja ärge laiendage pakkumist kõigile, sest ühel vanal partneril on vaja rohkem.

Kolm kohta, kus seda parandada, üks on tavaliselt suletud

• Üks kaasaegne pakkumine iga partneri jaoks. Õige, kui kõik kliendid on praegused telefonid ja lauaarvutid. See kustutab vanad transformatsioonid, selle asemel et nende ümber läbirääkida.
• Teine ühenduse definitsioon Apple'i klientidele. Hoiab ühe vana partneri elus, andes samal ajal telefonile pakkumise, mida see aktsepteerib. See maksab veel ühe ühendusploki ja teeb erandi nähtavaks.
• Kliendi vahetamine. Harva teile avatud: kui haldussüsteem või rakendus profiili tarnib, pole pakkumiste redaktorit, mida puutuda, ja sisseehitatud klient ei paljasta ühtegi.

Valige teine valik, kui väljaspool teie kontrolli olevat seadet ei saa uuendada. Valige esimene, kui saate vana partneri pensionile saata ja eelistate kanda üht poliitikat.

Mõlemal juhul on valik konfiguratsioonis nähtav ja selles ongi point. Vaikne tagasilangus, mis läbiräägib alla vana transformatsioonini, on hullem kui selgesõnaline blokk, sest ükski ülevaatus ei too seda kunagi päevavalgele.

Tõestage see, siis kirjutage üles

Ühendage uuesti ja kontrollige serveris kolme eraldi fakti: pakkumine valiti, ühendus kuvatakse loodud olevana ja klient sai aadressi. Loodud käepigistus ilma kaugema aadressita osutab poolile või liikluse valijatele ja kuulub eraldi muudatusse. Mõlema koos käsitlemine paneb lahendatud läbirääkimise lahendamata näima.

Kirjutage üles transformatsioonikomplekt, mis võeti vastu, millal te seda muutsite ja millist kliendi buildi kontrollisite. Järgmine uuendus võib nõude jälle liigutada ja väärtused, mis töötasid, on esimene asi, mida uute kõrval soovite.