iOS je odbio vaš strongSwan tunel: usporedite IKE prijedloge

Ništa u certifikatu ni adresi ne objašnjava zašto iPhone koji se lani spajao na strongSwan ove godine ne uspijeva. Ništa se u adresi, zajedničkom ključu ni identitetu klijenta nije moralo promijeniti. Promijenio se popis transformacija koje je ugrađeni klijent telefona spreman pregovarati, a kad se taj popis prestane preklapati s poslužiteljevim, razmjena završava prije nego što se provjeri ikakav identitet.

Linija dnevnika koja odlučuje

Pojačajte zapisivanje za tu vezu i pronađite dva unosa koji odlučuju ishod: što je telefon ponudio i što je poslužitelj odabrao. Ako zapis završi bez odabranog prijedloga i javi da ništa nije odgovaralo, autentikacija nikad nije ni pokušana. Novi certifikat i nova lozinka tada ne mijenjaju ništa, jer se oboje troši u kasnijoj fazi. Nijedno od njih ne može utjecati na ishod koji je odlučen prije nego što je identitet provjeren.

Razdvojite dva oblika neuspjeha prije nego što bilo što uredite. Nikakva izmjena transformacije neće spasiti odbijene vjerodajnice, a nikakav popravak vjerodajnica neće spasiti odbijenu transformaciju. Unos u dnevniku koji imenuje odabrani prijedlog kaže vam u kojem ste od ta dva stanja. Bez tog unosa, nagađate.

Odabrana linija imenuje prijedlog po njegovu skupu transformacija, a ne po prilagođenoj oznaci. Usporedite polja šifriranja, integriteta i grupe u toj liniji s popisom koji je telefon poslao, jer razlika u jednom polju dovoljna je za gubitak.

Što se promijenilo na telefonu

Jedno je izdanje iOS-a smanjilo algoritme koje je njegov klijent spreman koristiti. Slabi hashovi integriteta, male Diffie-Hellman grupe i prijedlozi koji prvo navode naslijeđene opcije prestali su biti prihvatljivi.

Dulji popisi ovdje nisu sigurniji. Odabir slijedi skup koji telefon prihvaća i njegov vlastiti redoslijed prioriteta, pa poslužitelj koji oglašava širok katalog ipak može izgubiti pregovaranje kad moderne stavke nisu one koje se biraju. Radije odaberite kratak popis s modernim stavkama na početku. Dugačak popis koji počinje naslijeđenim opcijama izravno poziva upravo onaj neuspjeh koji želite izbjeći. Prihvaćeni skup vanjsko je ograničenje koje se pomiče sa svakim ažuriranjem klijenta, pa je jučerašnja konfiguracija koja je radila dokaz o jučer.

Jedan par koji još uvijek pregovara

Za sadašnje telefone dovoljna je jedna moderna kombinacija. Par koji još pregovara izgleda ovako:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Linija ike nosi šifriranje, integritet i Diffie-Hellman grupu koji se koriste dok traje razmjena ključeva. Linija esp pokriva samo podatkovni kanal, jer je grupa utvrđena prije nego što se primjenjuje. Ponovno učitajte vezu ili ponovno pokrenite daemon, pa zatim ponovno spojite telefon. Zadržite tu vrijednost grupe samo ako je svaki klijent kojemu služite još prihvaća, i ne proširujte prijedlog za sve zato što jednom starom partneru treba više.

Tri mjesta za popravak, jedno je obično zatvoreno

• Jedan moderan prijedlog za svakog partnera. Ispravno kad su svi klijenti sadašnji telefoni i stolna računala. Briše stare transformacije umjesto da pregovara oko njih.
• Druga definicija veze za Appleove klijente. Održava jednog naslijeđenog partnera na životu dok telefonu daje prijedlog koji prihvaća. To stoji još jedan blok veze i čini iznimku vidljivom.
• Promjena klijenta. Rijetko vam je otvoreno: kad profil isporučuje sustav upravljanja ili aplikacija, nema uređivača prijedloga koji biste dotakli, a ugrađeni klijent ga ne izlaže.

Odaberite drugu opciju kad se uređaj izvan vaše kontrole ne može ažurirati. Odaberite prvu kad možete umiroviti naslijeđenog partnera i radije nosite jednu politiku.

U svakom slučaju izbor je vidljiv u konfiguraciji, i to je poanta. Tihi rezervni put koji pregovara do stare transformacije gori je od izričitog bloka, jer ga nijedan pregled nikad neće iznijeti na vidjelo.

Dokažite to, pa zapišite

Ponovno se spojite i provjerite tri odvojene činjenice na poslužitelju: prijedlog je odabran, veza je prikazana kao uspostavljena i klijent je dobio adresu. Uspostavljena rukovnja bez udaljene adrese upućuje na skup adresa ili na selektore prometa, i to pripada u zasebnu promjenu. Zajedničko tretiranje njih dvaju čini riješeno pregovaranje neriješenim.

Zapišite skup transformacija koji je prihvaćen, kada ste ga promijenili i koje ste izdanje klijenta provjerili. Sljedeće ažuriranje može ponovno pomaknuti zahtjev, a vrijednosti koje su radile prvo su što ćete htjeti uz nove.