iOS ने आपका strongSwan टनल ठुकरा दिया: IKE प्रस्तावों की तुलना करें

प्रमाणपत्र या पते में कुछ भी यह नहीं बताता कि पिछले साल strongSwan से जुड़ने वाला iPhone इस साल क्यों विफल हो रहा है। पते, साझा कुंजी या क्लाइंट पहचान में से कुछ भी बदला होना ज़रूरी नहीं था। जो बदला है वह उन ट्रांसफ़ॉर्म की सूची है जिन पर फ़ोन का अंतर्निहित क्लाइंट बातचीत करने को तैयार है, और जैसे ही वह सूची सर्वर की सूची से मेल खाना बंद करती है, किसी की भी पहचान जाँचे जाने से पहले ही आदान-प्रदान समाप्त हो जाता है।

निर्णायक लॉग पंक्ति

उस कनेक्शन के लिए लॉग बढ़ाएँ और वे दो प्रविष्टियाँ खोजें जो नतीजा तय करती हैं: फ़ोन ने क्या पेश किया, और सर्वर ने क्या चुना। अगर लॉग बिना किसी चुने हुए प्रस्ताव के खत्म होता है और बताता है कि कुछ मेल नहीं खाया, तो प्रमाणीकरण का प्रयास ही नहीं हुआ। नया प्रमाणपत्र और नया पासवर्ड उस समय कुछ नहीं बदलते, क्योंकि दोनों बाद के चरण में खपते हैं। उनमें से कोई भी उस नतीजे को प्रभावित नहीं कर सकता जो पहचान जाँचे जाने से पहले तय हो चुका था।

कुछ भी संपादित करने से पहले विफलता के दो रूपों को अलग रखें। कोई भी ट्रांसफ़ॉर्म बदलाव अस्वीकृत क्रेडेंशियल को नहीं बचाएगा, और कोई भी क्रेडेंशियल सुधार अस्वीकृत ट्रांसफ़ॉर्म को नहीं बचाएगा। जो लॉग प्रविष्टि किसी चुने हुए प्रस्ताव का नाम लेती है, वह बताती है कि आप दोनों में से किस स्थिति में हैं। उस प्रविष्टि के बिना आप अनुमान ही लगा रहे हैं।

चुनी गई पंक्ति प्रस्ताव को उसके ट्रांसफ़ॉर्म सेट से पहचानती है, किसी दोस्ताना लेबल से नहीं। उस पंक्ति में एन्क्रिप्शन, अखंडता और समूह फ़ील्ड की तुलना फ़ोन द्वारा भेजी गई सूची से करें, क्योंकि किसी एक फ़ील्ड में अंतर हारने के लिए काफ़ी है।

फ़ोन पर क्या बदला

iOS के एक रिलीज़ ने उन एल्गोरिदम को घटा दिया जो उसका क्लाइंट इस्तेमाल करने को तैयार है। कमज़ोर अखंडता हैश, छोटे Diffie-Hellman समूह और वे प्रस्ताव जो पुराने विकल्प पहले गिनाते हैं, स्वीकार्य रहना बंद हो गए।

यहाँ लंबी सूचियाँ अधिक सुरक्षित नहीं हैं। चयन फ़ोन के स्वीकृत सेट और उसके अपने वरीयता क्रम का पालन करता है, इसलिए बड़ा कैटलॉग विज्ञापित करने वाला सर्वर भी बातचीत हार सकता है जब आधुनिक प्रविष्टियाँ ही चुनी जाने वाली प्रविष्टियाँ न हों। आधुनिक प्रविष्टियों वाली छोटी सूची को प्राथमिकता दें। पुराने विकल्पों से शुरू होने वाली लंबी सूची ठीक उसी विफलता को न्योता देती है जिससे आप बचना चाहते हैं। स्वीकृत सेट एक बाहरी बाधा है जो हर क्लाइंट अपडेट के साथ बदलती है, इसलिए कल की काम करने वाली कॉन्फ़िगरेशन कल के बारे में साक्ष्य है।

एक जोड़ी जो अब भी बातचीत कर लेती है

मौजूदा फ़ोन के लिए एक आधुनिक संयोजन काफ़ी है। एक जोड़ी जो बातचीत कर लेती है, ऐसी दिखती है:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike पंक्ति वह एन्क्रिप्शन, अखंडता और Diffie-Hellman समूह ले जाती है जो कुंजी विनिमय के दौरान इस्तेमाल होते हैं। esp पंक्ति केवल डेटा चैनल को कवर करती है, क्योंकि समूह उसके लागू होने से पहले तय हो चुका होता है। कनेक्शन फिर से लोड करें या डेमॉन को पुनः आरंभ करें, फिर फ़ोन को दोबारा जोड़ें। उस समूह मान को केवल तभी रखें जब आपके सभी क्लाइंट उसे अब भी स्वीकार करते हों, और किसी एक पुराने साथी को ज़्यादा चाहिए इसलिए सबके लिए प्रस्ताव न बढ़ाएँ।

सुधार के तीन स्थान, एक आम तौर पर बंद

• हर साथी के लिए एक आधुनिक प्रस्ताव। सही तब है जब सभी क्लाइंट मौजूदा फ़ोन और डेस्कटॉप हों। यह पुराने ट्रांसफ़ॉर्म को उनके आसपास बातचीत करने के बजाय मिटा देता है।
• Apple क्लाइंट के लिए दूसरी कनेक्शन परिभाषा। एक पुराने साथी को जीवित रखते हुए फ़ोन को ऐसा प्रस्ताव देती है जो वह स्वीकार करता है। इसकी कीमत एक और कनेक्शन ब्लॉक है और यह अपवाद को दिखाई देने योग्य बनाती है।
• क्लाइंट बदलना। आपके लिए शायद ही कभी खुला: जब कोई प्रबंधन प्रणाली या ऐप प्रोफ़ाइल भेजता है, तो छूने के लिए कोई प्रस्ताव संपादक नहीं होता, और अंतर्निहित क्लाइंट उसे उजागर नहीं करता।

दूसरा विकल्प तब चुनें जब आपके नियंत्रण से बाहर का कोई डिवाइस अपडेट नहीं हो सकता। पहला तब चुनें जब आप पुराने साथी को सेवानिवृत्त कर सकते हैं और एक ही नीति लेकर चलना पसंद करते हैं।

किसी भी तरह, चुनाव कॉन्फ़िगरेशन में दिखता है, और यही मुद्दा है। पुराने ट्रांसफ़ॉर्म तक बातचीत कर लेने वाला मौन फ़ॉलबैक स्पष्ट ब्लॉक से बुरा है, क्योंकि कोई भी समीक्षा उसे कभी सामने नहीं लाएगी।

इसे सिद्ध करें, फिर दर्ज करें

दोबारा कनेक्ट करें और सर्वर पर तीन अलग तथ्य जाँचें: एक प्रस्ताव चुना गया, कनेक्शन स्थापित दिखता है, और क्लाइंट को पता मिला। बिना दूरस्थ पते के स्थापित हैंडशेक पूल या ट्रैफ़िक सेलेक्टर की ओर इशारा करता है, और उसे अपने अलग बदलाव में रखना चाहिए। दोनों को एक साथ लेने से सुलझी हुई बातचीत अनसुलझी दिखने लगती है।

स्वीकृत ट्रांसफ़ॉर्म सेट लिख लें, कि आपने इसे कब बदला और किस क्लाइंट बिल्ड को सत्यापित किया। अगला अपडेट ज़रूरत को फिर से हिला सकता है, और जो मान काम कर गए वे पहली चीज़ हैं जो आप नए मानों के बगल में चाहेंगे।