iOS IKEv2 strongSwaniin: ehdotusta ei valittu, korjaa lista

iPhone nostaa tunnelin, yhdyskäytävä vastaa tyhjällä ja puhelin näyttää yleisen virheen. strongSwanin loki on täsmällisempi: ehdotusta ei valittu. Tämä viesti tarkoittaa, että kahden hyväksyttävien salauspakettien listan välillä ei ollut koskaan päällekkäisyyttä, joten vaihto päättyi ennen todennuksen alkua. Kyse on sovitusongelmasta, ja ratkaisu on saada listat leikkaamaan.

Missä yhdyskäytävä ilmoittaa käytännöstään

strongSwan kirjoittaa käytäntönsä asetustiedostoon, ja lopun huutomerkki ratkaisee, miten käytäntö luetaan. Merkin kanssa lista on tyhjentävä: ne merkinnät ja ei mitään muuta hyväksytään. Ilman sitä sama rivi on suositusjärjestys, ja taustapalvelu voi valita jotain, mitä et tarkoittanut. Kysy, mikä muoto on käytössä, ennen kuin käännät mitään, sillä kaksi käyttäytyy eri tavoin samaa asiakasta kohtaan. Kirjaa tarkka rivi merkki mukaan lukien ja testaa sitä vasten.

Laajempaa listaa tarjoava asiakas voi silti yhdistää kiinnitettyyn yhdyskäytävään, kunhan yksi yhdistelmä esiintyy molemmilla puolilla. Sitä ei voi tapahtua, että neuvotellaan kiinnitetyn joukon ulkopuolella.

Siksi toisesta VPN-sovelluksesta kopioitu profiili voi toimia siellä, missä sinun ei toimi: toinen sovellus toimitti eri listan.

Nimien on sovittava, ei parannuttava

Kaksi käännöstä nappaa ihmiset, jotka siirtävät arvoja strongSwanista iOSiin. IKE-ehdotuksessa SHA1:nä kirjoitettu eheysalgoritmi kulkee katkaistussa muodossaan, jota iOS kutsuu nimellä .SHA96. Muotoon modp1024 kirjoitettu Diffie-Hellman-ryhmä on group 2, jota iOS kutsuu nimellä .group2. Korvaaminen SHA-256:lla tai group 14:llä ei neuvottele yhdyskäytävän kanssa, joka hyväksyy vain vanhemman parin. Asiakkaan on kuvattava sama algoritmi, ei vahvempi.

Aseta nämä arvot nimenomaisesti kohtaan NEVPNProtocolIKEv2. Oletusarvot voivat olla laajempia tai kapeampia kuin korvaamasi profiili, ja ero näkyy vasta, kun kättely epäonnistuu.

Lapsen ehdotus epäonnistuu myöhemmin ja hiljaisemmin

Määritä lapsen tietoturvayhteys samoin kuin IKE:n. Kun vain IKE-parametrit täsmäävät, tunneli todennetaan ja se ei sen jälkeen kuljeta liikennettä, mikä on paljon hiljaisempi epäonnistuminen kuin hylkäys. Aseta lapsen salaus, eheys, ryhmä ja elinikä samassa vaiheessa. Pidä asiakkaan elinikä yhdyskäytävän arvossa tai sen alapuolella, sillä pidemmän vaatiminen tuottaa saman ehdotusta ei valittu -viestin eri syystä. Epäsopivuus siellä näyttää samalta kuin IKE:n epäsopivuus lokissa.

Tarkista, todentaako profiili itsensä varmenteilla vai jaetulla salaisuudella, kun olet asetuksissa. Ehdotuksen hylkäys ja todennuksen hylkäys näkyvät eri riveillä, ja väärän korjaaminen maksaa päivän. Testaa tuoreella yhteydellä jokaisen muutoksen jälkeen, yksi muuttuja kerrallaan, sillä välimuistiin tallennettu tila kätkee, mikä parametri liikkui.

Jätä vanha paketti vain niin kauan kuin sitä tarvitaan

SHA-1:n kiinnittäminen 1024-bittiseen ryhmään on silta, ei määränpää. Molemmat ovat vanhentuneita, ja uudemmat asiakkaat voivat hylätä ne kokonaan, mikä tarkoittaa, että profiili epäonnistuu seuraavassa laitteessa ilman mitään muutosta sinun puolellasi. Pidä kiinnitystä väliaikaisena ja sano se tietueessa.

Jos strongSwan on sinun, lisää nykyaikainen ehdotus ja anna molempien päiden neuvotella ylöspäin, kun vanha merkintä jää vanhemmille laitteille. Lue taustapalvelun tilatuloste nähdäksesi, mitä pakettia kukin yhteys todella käytti. Poista sitten asiakaspuolen kiinnitys, kun nykyaikainen pari on vahvistettu. Ylös nouseva tunneli ei ole riittävä todiste, koska se voi nousta paketilla, jota yritit poistaa käytöstä. strongSwanin IKEv2-dokumentaatio kuvaa ehdotusten syntaksin ja tiukan merkin.