iOS IKEv2 strongSwan-era: ez da proposamenik hautatu, konpondu zerrenda

iPhoneak tunela altxatzen du, atebideak ez du ezer erantzuten, eta telefonak huts egite orokorra erakusten du. strongSwanen erregistroa zehatzagoa da: ez da proposamenik hautatu. Mezu horrek esan nahi du onargarri diren zifratze-multzoen bi zerrendek ez zutela inoiz bat egin, beraz elkartrukea autentifikazioa hasi aurretik amaitu zen. Bat-etortze arazoa da, eta konponbidea zerrendek elkar ebakitzea da.

Non adierazten du atebideak bere politika

strongSwanek konfigurazioan idazten du bere politika, eta amaierako harridura-markak erabakitzen du politika hori nola irakurtzen den. Markarekin zerrenda exhaustiboa da: sarrera horiek eta besterik ez dira onartuko. Hura gabe, lerro bera lehentasun-ordena da, eta daemonak nahi ez zenuen zerbait aukeratu dezake. Galdetu zein forma dagoen hedatuta ezer itzuli aurretik, biak modu desberdinean jokatzen baitute bezero beraren aurrean. Idatzi lerro zehatza, marka barne, eta probatu haren aurka.

Zerrenda zabalagoa eskaintzen duen bezeroak oraindik konektatu daiteke finkatutako atebide batera, konbinazio bat bi aldeetan agertzen bada. Gertatu ezin dena finkatutako multzotik kanpoko negoziazioa da.

Horregatik beste VPN aplikazio batetik kopiatutako profila zureak funtzionatzen ez duen lekuan funtziona dezake: beste aplikazioak beste zerrenda bat zeraman.

Izerek bat egin behar dute, ez hobetu

Bi itzulpenek harrapatzen dituzte strongSwandik iOSera balioak eramaten dituztenak. IKE proposamen batean SHA1 gisa idatzitako osotasun-algoritmoa forma moztuan bidaiatzen du, iOSek .SHA96 deitzen duena. modp1024 gisa idatzitako Diffie-Hellman taldea group 2 da, iOSek .group2 deitzen duena. SHA-256 edo group 14 ordezkatzeak ez du negoziatuko bikote zaharra baino onartzen ez duen atebide batekin. Bezeroak algoritmo bera deskribatu behar du, ez indartsuago bat.

Ezarri balio horiek modu esplizituan NEVPNProtocolIKEv2 barruan. Lehenespenezko balioak ordezkatzen ari zaren profila baino zabalagoak edo estuagoak izan daitezke, eta aldea esku-emateak huts egiten duenean baino ez da agertzen.

Semearen proposamenak geroago eta isilago huts egiten du

Konfiguratu semearen segurtasun-elkartea IKErena bezala. IKE parametroak soilik bat egiten direnean, tunelak autentifikatu egiten da eta gero ez du trafikorik eramaten, uko egitea baino askoz hutsegite isilagoa dena. Ezarri semearen zifratzea, osotasuna, taldea eta bizitza aldi berean. Eutsi bezeroaren bizitza atebidearen balioan edo horren azpitik, luzeagoan temateak proposamenik hautatu ez delako mezu bera sortzen baitu beste arrazoi batengatik. Hanako desadostasuna berdin ikusten da erregistroko IKE desadostasunaren moduan.

Egiaztatu profileko autentifikazioa ziurtagiriekin edo sekretu partekatuarekin egiten den, konfigurazioan zauden bitartean. Proposamenaren ukapena eta autentifikazioaren ukapena lerro desberdinetan agertzen dira, eta okerra konpontzeak egun bat kostatzen du. Probatu konexio berri batekin aldaketa bakoitzaren ondoren, aldagai bakarra aldi berean, cachean gordetako egoerak zein parametro mugitu zen ezkutatzen baitu.

Utzi multzo zaharra beharrezkoa den bitartean soilik

SHA-1 1024 biteko talde batekin finkatzea zubi bat da, ez helmuga. Biak zaharkituta daude, eta bezero berriagoek zuzenean uka ditzakete, hau da, profilak huts egingo du hurrengo gailuan zure aldetik aldaketarik egin gabe. Hartu finkapena aldi baterakotzat eta esan hori erregistroan.

strongSwan zurea bada, gehitu proposamen moderno bat eta utzi bi aldeei gora negoziatzen, sarrera zaharra gailu zaharrentzat geratzen den bitartean. Irakurri daemonaren egoera-irteera konexio bakoitzak benetan zein multzo erabili zuen ikusteko. Gero kendu bezeroaren aldeko finkapena bikote modernoa berretsi ondoren. Altxatzen den tunela ez da nahikoa froga, erretiratu nahi zenuen multzoan altxa baitaiteke. strongSwanen IKEv2 dokumentazioak proposamenen sintaxia eta marka zorrotza deskribatzen ditu.