iOS IKEv2 nei strongSwan: gjin foarstel keazen, reparearje de list
Gjin foarstel keazen betsjut dat de twa listen elkoar nea kruse. Oersette SHA1 nei SHA-96, modp1024 nei group 2, en set ek it bernfoarstel.
De iPhone bringt de tunnel omheech, de gateway antwurdet mei neat, en de tillefoan toant in algemiene flater. De log fan strongSwan is krekter: gjin foarstel keazen. Dy melding betsjut dat de twa listen fan akseptabele syfersuites elkoar nea oerlaapje, dat de utwikseling einige foardat de autentikaasje begun. It is in oerienkomingsprobleem, en de oplossing is de listen elkoar kruse te litten.
Dêr't de gateway syn belied ferklearret
strongSwan skriuwt syn belied yn de konfiguraasje, en it utroppenteken oan de ein beslut hoe't dat belied lêzen wurdt. Mei it teken is de list folslein: dy items en neat oars wurde akseptearre. Sonder it is deselde rigel in foarkarsfolchoarder, en de daemon kin eat kieze datst net bedoeld hast. Freegje hokker foarm utrole is foardatst eat oersetst, want de twa gedrage har oars tsjin deselde klant. Skriuw de krekte rigel op, teken ynbegrepen, en test dertsjin.
In klant dy't in bredere list biedt, kin noch altyd ferbine mei in festsette gateway, salang't ien kombinaasje oan beide kanten foarkomt. Wat net barre kin, is underhannelje buten de festsette set.
Derom kin in profyl dat fan in oare VPN-app kopiaal is wurkje dêr't dy fan dy net wurket: de oare app levere in oare list.
De nammen moatte oerienkomme, net ferbetterje
Twa oersettings fange minsken dy't wearden fan strongSwan nei iOS ferpleatse. It yntegriteitsalgoritme dat yn in IKE-foarstel as SHA1 skreaun wurdt, reizget yn syn ferkoarte foarm, dy't iOS .SHA96 neamt. De Diffie-Hellman-groep dy't as modp1024 skreaun wurdt, is group 2, dy't iOS .group2 neamt. Ferfanging troch SHA-256 of group 14 sil net underhannelje tsjin in gateway dy't allinnich it âldere pear akseptearret. De klant moat itselde algoritme beskriuwe, net in sterker ien.
Set dy wearden eksplisyt yn NEVPNProtocolIKEv2. Standertwearden kinne breder of smeller weze as it profyl datst ferfangst, en it ferskil blykt pas as de hânskodding mislearret.
It bernfoarstel mislearret letter en stiller
Konfigurearje de befeiligingsassosjaasje fan it bern likegoed as dy fan IKE. As allinnich de IKE-parameters oerienkomme, autentisearret de tunnel him en draacht derno gjin ferkear, wat in folle stiller mislearring is as in wegering. Set fersifering, yntegriteit, groep en libbensdoer fan it bern yn deselde trochgong. Hal de libbensdoer fan de klant op de wearde fan de gateway of leger, want oanstean op in langere jout deselde melding fan gjin keazen foarstel ut in oare oarsaak. In ofwiking dere sjocht der itselde ut as in IKE-ofwiking yn de log.
Kontrolearje oft it profyl him mei sertifikaten of in dield geheim autentisearret wylstst yn de konfiguraasje bist. In foarstelwegering en in autentikaasjewegering ferskine op ferskillende rigels, en de ferkearde reparearje kostet in dei. Test mei in farske ferbining nei elke feroaring, ien farabele tagelyk, want bewarre steat ferberget hokker parameter beweegde.
Lit de âlde set allinnich stean salang't er nedich is
SHA-1 festsette mei in 1024-bit-groep is in brêge, net in bestimming. Beide binne ferâldere, en nijere klanten kinne se folslein wegerje, wat betsjut dat it profyl op it folgjende apparaat mislearret sûnder feroaring oan dyn kant. Behannelje it festsetten as tydlik en sis dat yn de registraasje.
As strongSwan fan dy is, foege in moderne foarstel ta en lit beide kanten omheech underhannelje wylst de âlde ynfier foar âldere apparaten bliuwt. Les de statusútfier fan de daemon om te sjen hokker set elke ferbining eins brukte. Ferwiderje derno it festsetten oan de klantkant as it moderne pear befestige is. In tunnel dy't omheech komt is net genoch bewiis, want hy kin omheech komme op de set dy'tst besochtst ôf te tsjinjen. De strongSwan-dokumintaasje oer IKEv2 beskriuwt de syntaksis fan foarstellen en it strange teken.