iOSek zure strongSwan tunela baztertu du: alderatu IKE proposamenak

Sertifikatuan edo helbidean ezerk ez du azaltzen zergatik huts egiten duen aurten iaz strongSwan-era konektatzen zen iPhone batek. Ez zuen zertan ezer aldatu helbidean, aurrez partekatutako gakoan edo bezeroaren identitatean. Aldatu dena telefonoaren barneko bezeroak negoziatzeko prest dagoen transformazioen zerrenda da, eta zerrenda hori zerbitzariarenarekin gainjartzeari uzten dionean, trukea amaitzen da inoren identitatea aztertu aurretik.

Erabakia hartzen duen erregistro-lerroa

Igo ezazu konexio horretako erregistro-maila eta aurkitu emaitza erabakitzen duten bi sarrerak: telefonoak zer eskaini zuen eta zerbitzariak zer aukeratu zuen. Erregistroa proposamen hautaturik gabe amaitzen bada eta ezerk bat egin ez duela adierazten badu, autentifikazioa ez da inoiz saiatu. Sertifikatu berri batek eta pasahitz berri batek ez dute ezer aldatzen puntu horretan, biak geroagoko fasean erabiltzen baitira. Biak ez dira gai identitatea aztertu aurretik erabakitako emaitzan eragiteko.

Bereizi bi hutsegite-formak ezer editatu aurretik. Transformazioen edozein aldaketak ez du baztertutako kredentzialik salbatzen, eta kredentzialen konponketa batek ez du baztertutako transformaziorik salbatzen. Proposamen hautatu bat izendatzen duen erregistro-sarrerak esaten dizu bietariko zein den zurea. Sarrera hori gabe, asmatzen ari zara.

Hautatutako lerroak proposamena bere transformazio-multzoaren bidez izendatzen du, etiketa atsegin baten ordez. Alderatu zifratze-, osotasun- eta talde-eremuak lerro horretan telefonoak bidalitako zerrendarekin, edozein eremutan izandako desberdintasuna nahikoa baita galtzeko.

Zer aldatu zen telefonoan

iOS bertsio batek bere bezeroak erabiltzeko prest dagoen algoritmoak moztu zituen. Osotasun-hash ahulak, Diffie-Hellman talde txikiak eta aukera zaharrak lehenengo zerrendatzen dituzten proposamenak ez ziren gehiago onargarri.

Zerrenda luzeagoak ez dira hemen seguruagoak. Hautaketa telefonoaren multzo onartuak eta haren lehentasun-ordenak jarraitzen dute, beraz, katalogo zabala iragartzen duen zerbitzari batek negoziazioa gal dezake sarrera modernoak hautatzen direnak ez direnean. Lehenetsi zerrenda laburra, sarrera modernoak aurrenik dituena. Aukera zaharrez hasten den zerrenda luzeak sahiesten saiatzen ari zaren hutsegitea erakartzen du. Multzo onartua kanpoko murrizketa bat da, bezeroak eguneratzen duen aldiro mugitzen dena, beraz atzo funtzionatu zuen konfigurazio bat atzoari buruzko froga da.

Oraindik negoziatzen duen pare bat

Gaur egungo telefonoetarako konbinazio moderno bat nahikoa da. Negoziatzen duen pare bat horrela ikusten da:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike lerroak gako-trukea gertatzen den bitartean erabiltzen diren zifratzea, osotasuna eta Diffie-Hellman taldea daramatza. esp lerroak datu-kanala soilik hartzen du, taldea aplikatu aurretik erabaki baitzen. Birmonka ezazu konexioa edo berrabiarazi daemona, eta gero konektatu berriro telefonoa. Mantendu talde-balio hori zuk zerbitzatzen duzun bezero bakoitzak oraindik onartzen badu, eta ez zabaldu proposamena guztientzat pare zahar batek gehiago behar duelako.

Hiru konponketa-leku, bat normalean itxita

• Proposamen moderno bat pare bakoitzeko. Zuzena bezero guztiak gaur egungo telefonoak eta mahaigainak direnean. Transformazio zaharrak ezabatzen ditu haien inguruan negoziatu ordez.
• Bigarren konexio-definizio bat Apple bezeroentzat. Pare zahar bat bizirik mantentzen du telefoni onartzen duen proposamen bat ematen dion bitartean. Konexio-bloke bat gehiago kostatzen du eta salbuespena ikusgai egiten du.
• Bezeroa aldatzea. Gutxitan duzu aukera: kudeaketa-sistema batek edo aplikazio batek profila banatzen duenean, ez dago ukituko proposamen-editorerik, eta barneko bezeroak ez du halakorik erakusten.

Aukeratu bigarren aukera zure kontroletik kanpoko gailu bat eguneratu ezin denean. Aukeratu lehenengoa pare zaharra erretiratu dezakezunean eta politika bakar bat eramaten nahiago duzunean.

Nolanahi ere, aukeraketa konfigurazioan ikusgai dago, eta hori da kontua. Transformazio zahar batera negoziatzen duen itzulera isilak bloke esplizitu batek baino okerragoa da, inongo berrikuspenek ez baitu sekula agerian jarriko.

Froga ezazu, eta gero erregistratu

Konektatu berriro eta egiaztatu hiru gertaera bereizi zerbitzarian: proposamen bat hautatu da, konexioa ezarrita agertzen da, eta bezeroak helbide bat jaso du. Ezarritako esku-emateak urruneko helbiderik gabe poolera edo trafiko-hautatzaileetara seinalatzen du, eta bere aldaketa propioan du lekua. Biak batera tratatzeak negoziazio konponduta ez konponduta bezala agerrarazten du.

Idatz itzazu onartu zen transformazio-multzoa, noiz aldatu zenuen eta zein bezero-bersio egiaztatu zenuen. Hurrengo eguneraketak baldintza berriro mugi dezake, eta funtzionatu zuten balioak izango dira berrien ondoan nahiko duzun lehen gauza.