iOS IKEv2 strongSwanile: ühtegi pakkumist ei valitud, parandage loend

iPhone tõstab tunneli üles, lüüs vastab mitte millegagi ja telefon näitab üldist viga. strongSwani logi on täpsem: ühtegi pakkumist ei valitud. See teade tähendab, et kaks vastuvõetavate šifrikomplektide loendit ei kattunud kunagi, mistõttu vahetus lõppes enne autentimise algust. See on sobivuse probleem ja lahendus on panna loendid lõikuma.

Kus lüüs oma poliitikat teatab

strongSwan kirjutab oma poliitika konfiguratsiooni ja hüüumärk lõpus otsustab, kuidas seda poliitikat loetakse. Märgiga on loend ammendav: neid kirjeid ja mitte midagi muud ei võeta vastu. Ilma selleta on sama rida eelistuste järjekord ja deemon võib valida midagi, mida te ei kavatsenud. Küsige, milline vorm on juurutatud, enne kui midagi tõlgite, sest kaks käituvad sama kliendi suhtes erinevalt. Kirjutage üles täpne rida, märk kaasa arvatud, ja testige selle vastu.

Laiemat loendit pakkuv klient saab ikkagi kinnitatud lüüsiga ühenduda, kui üks kombinatsioon esineb mõlemal poolel. Mis juhtuda ei saa, on läbirääkimine väljaspool kinnitatud hulka.

Seetõttu võib teisest VPN-rakendusest kopeeritud profiil töötada seal, kus teie oma ei tööta: teine rakendus tarnis teistsuguse loendi.

Nimed peavad sobima, mitte paranema

Kaks tõlget püüavad inimesi, kes liigutavad väärtusi strongSwanist iOS-i. IKE pakkumises SHA1-na kirjutatud terviklikkuse algoritm liigub oma kärbitud kujul, mida iOS nimetab .SHA96. modp1024-na kirjutatud Diffie-Hellmani grupp on group 2, mida iOS nimetab .group2. Asendamine SHA-256 või group 14-ga ei peagi läbirääkimisi lüüsiga, mis võtab vastu ainult vanema paari. Klient peab kirjeldama sama algoritmi, mitte tugevamat.

Seadke need väärtused selgesõnaliselt jaotises NEVPNProtocolIKEv2. Vaikeväärtused võivad olla laiemad või kitsamad kui profiil, mida asendate, ja erinevus ilmneb alles siis, kui käepigistus ebaõnnestub.

Lapse pakkumine ebaõnnestub hiljem ja vaiksemalt

Seadistage lapse turbeseos lisaks IKE omale. Kui sobivad ainult IKE parameetrid, autendib tunnel end ja ei kanna seejärel mingit liiklust, mis on palju vaiksem tõrge kui keeldumine. Seadke lapse krüpteerimine, terviklikkus, grupp ja eluiga samas käigus. Hoidke kliendi eluiga lüüsi väärtusel või sellest madalamal, sest pikema nõudmine annab sama teate valimata pakkumise kohta teisel põhjusel. Sealne lahknevus näeb välja täpselt nagu IKE lahknevus logis.

Kontrollige, kas profiil autendib end sertifikaatide või jagatud saladusega, kui olete konfiguratsioonis. Pakkumise tagasilükkamine ja autentimise tagasilükkamine ilmuvad eri ridadel ja vale parandamine maksab päeva. Testige värske ühendusega pärast igat muudatust, üks muutuja korraga, sest vahemällu salvestatud olek varjab, milline parameeter liikus.

Jätke vana komplekt alles ainult seni, kuni seda vaja on

SHA-1 kinnitamine 1024-bitise grupiga on sild, mitte sihtkoht. Mõlemad on vananenud ja uuemad kliendid võivad need sootuks tagasi lükata, mis tähendab, et profiil ebaõnnestub järgmisel seadmel ilma igasuguse muudatuseta teie poolel. Käsitlege kinnitust ajutisena ja öelge seda kirjes.

Kui strongSwan on teie oma, lisage kaasaegne pakkumine ja laske mõlemal poolel ülespoole läbi rääkida, samal ajal kui vana kirje jääb vanemate seadmete jaoks. Lugege deemonistaatuse väljundit, et näha, millist komplekti iga ühendus tegelikult kasutas. Seejärel eemaldage kliendipoolne kinnitamine, kui kaasaegne paar on kinnitatud. Üles tõusnud tunnel ei ole piisav tõend, sest see võib tõusta komplektil, mida te püüdsite kasutusest kõrvaldada. strongSwani IKEv2 dokumentatsioon kirjeldab pakkumiste süntaksit ja ranget markerit.