Miks IKEv2 Androidis ebastandardsel UDP-pordil ei tööta

Lüüs vastab IKEv2-le UDP 4443 pordil põhjusega, profiilis on väli nimega Server, te sisestate hostinime ja pordi ning telefon teatab, et ei saa serverini jõuda või ei suuda aadressi lahendada. Midagi ei blokeerita. Androidi natiivne vorm ootab hosti, ja sama kehtib Windowsis. Kohandatud port on kliendi võimekus enne, kui sellest saab serveri säte, ja ainult mõned kliendid lasevad seda väljendada. Käige kolm osa järjekorras läbi: mida klient öelda saab, mida server kuulab ja kas mõlemad otsad raamivad pakette ühtemoodi.

Mida telefon tegelikult saatis

Nime jaoks mõeldud väljas olev host:port string lahendatakse nimena. Lahendaja ei tagasta vpn.example.net:4443 jaoks midagi ning viga, mida näete, on nime lahendamise või kättesaamatuse tõrge, mitte pordi aegumine. See vahe on oluline, sest lühema nime või teise võrguga kordamine ei paranda kunagi stringi, mida vorm ei suuda parsida.

Androidi natiivne IKEv2-profiil on nagu Windowsi sisseehitatud VPN-klient kinnitatud standardsete IKE-portide külge. Kumbki ei näita pordivälja ja ükski profiili redigeerimine ei lisa seda. Kui operaatori kuulaja on tõesti pordil 4443, on sisseehitatud klient vale tööriist, mitte valesti seadistatud.

Kasutage klienti, mis porti näitab

strongSwani Androidi klient dokumenteerib seadistatava serveripordi profiili täpsemates seadetes, seetõttu esineb see peaaegu igas toimivas retseptis selle lahenduse jaoks. See tugi kuulub sellele kliendile: teine IKEv2-rakendus või sama rakenduse tarnijapoolne haru ei pruugi sama välja näidata, kuigi aluseks olev strongSwan-deemon toetab seda.

Küsige operaatorilt kogu komplekt korraga: lüüsi nimi, UDP-port, autentimismeetod ja serveri identiteet, mida klient peab ootama. Kohandatud port ei ole põhjus sertifikaatide kontrolli välja lülitada ega protokolle vahetada. Sisestage port sinna, kus paigaldatud klient seda ootab, ja kui sellel kliendil sellist välja pole, on vastuseks teine heakskiidetud klient, mitte oletatud möödaviik.

Serveril on kaks porti ja mõlemad peavad klappima

IKE algab UDP 500 pordil ja NAT-i läbimine viib IKE ning kapseldatud ESP tavaliselt UDP 4500 pordile. Need on strongSwanis eraldi sätted, seega ühele kohandatud pordile viidud server peab mõlemad muutma samale väärtusele:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Kui mõlema rolli jaoks on üks port, peab deemon samal soketil eristama IKE-d ESP-ist UDP sees, mida ta teeb neljabaidilise markeri abil, mis ei ole ESP ja mis eelneb IKE-sõnumile. Seetõttu ei saa klient kohandatud pordil läbi rääkida ja seejärel vaikselt pordil 4500 jätkata, ja seetõttu varjab lause “lihtsalt muuda porti” raamimise nõuet.

Edastamine ei ole kuulaja

4443 edastamine tavalisele IKE-kuulajale on tõrkeviis, mis näib peaaegu õnnestuvat. Esimene vahetus saabub, server vastab ja siis ühendus takerdub või võtab võtmed uuesti millegi vastu, sest vastus väljub teiselt pordilt ja hilisem kapseldatud liiklus ei vasta kunagi seisundile, mille kaks otsa lõid. Reegel, mis kirjutab sihtpordi ümber ilma kuulajat liigutamata, annab täpselt sellise poollahtise tulemuse.

Tee peab lubama ka UDP-d otsast otsani. See, et TCP 443 pääseb hotelli või operaatori võrgust läbi, ei ütle IKEv2 kohta UDP-pordil midagi, isegi kui number on sama. Kui lubatud on ainult TCP 443, ei muuda kohandatud UDP-port IKEv2-t HTTPS-iks ja õige vastus võib olla hoopis teine juurdepääsutee, mitte järjekordne pordikatse.

Eraldage testimisel kolm etappi

Salvestage serveris, kui klient proovib korra. Päring, mis ei saabu kunagi, on lõpp-punkti või tulemüüri küsimus; päring, mis saabub vastuseta, on kuulaja või poliitika küsimus; vastus, millele järgneb vaikus, on raamimise või identiteedi küsimus.

tcpdump -ni eth0 -vv udp port 4443

Seejärel lugege kliendi sõnumit, mitte selle pöörlevat indikaatorit. Pakkumise viga tähendab, et algoritmid ei klapi, autentimise tõrge tähendab, et identiteedid või sertifikaadid ei klapi, ja korduvad kordussaadetised vastuseta tähendavad, et sellel pordil ei vasta miski. Testige ühte etappi korraga ja muutke katsete vahel ühte välja; strongSwani dokumentatsioon NAT-i läbimise kohta kirjeldab markerit ja pordikäitumist, mida salvestis teile näitab.