iOS IKEv2 prema strongSwan: nije odabran prijedlog, popravite popis

iPhone podigne tunel, gateway odgovori ničim, a telefon prijavi općeniti neuspjeh. strongSwanov dnevnik je precizniji: nije odabran prijedlog. Ta poruka znači da se dva popisa prihvatljivih cipher suiteova nikad nisu preklopila, pa je razmjena završila prije početka autentikacije. To je problem podudaranja, a rješenje je učiniti da se popisi presijeku.

Gdje gateway navodi svoju politiku

strongSwan zapisuje svoju politiku u konfiguraciji, a uskličnik na kraju odlučuje kako se ta politika čita. S tim znakom popis je iscrpan: te stavke i ništa drugo neće biti prihvaćeno. Bez njega ista je linija redoslijed preferencija, a daemon može odabrati nešto što niste namjeravali. Pitajte koji je oblik raspoređen prije nego što bilo što prevedete, jer se ta dva oblika različito ponašaju prema istom klijentu. Zapišite točnu liniju, uključujući znak, i testirajte prema njoj.

Klijent koji nudi širi popis ipak se može spojiti na prikvačeni gateway, sve dok se jedna kombinacija pojavljuje na objema stranama. Ono što se ne može dogoditi jest pregovaranje izvan prikvačenog skupa.

Zato profil kopiran iz druge VPN aplikacije može raditi tamo gdje vaš ne radi: ta je aplikacija isporučila drugi popis.

Imena se moraju podudarati, ne poboljšati

Dva prijevoda uhvate ljude koji prenose vrijednosti iz strongSwana u iOS. Algoritam integriteta zapisan kao SHA1 u IKE prijedlogu putuje u svom skraćenom obliku, koji iOS naziva .SHA96. Diffie-Hellman grupa zapisana kao modp1024 je group 2, koju iOS naziva .group2. Zamjena sa SHA-256 ili group 14 neće pregovarati s gatewayem koji prihvaća samo stariji par. Klijent mora opisati isti algoritam, a ne jači.

Postavite te vrijednosti u NEVPNProtocolIKEv2 izričito. Zadane vrijednosti mogu biti šire ili uže od profila koji zamjenjujete, a razlika se vidi tek kad rukovanje ne uspije.

Child prijedlog pada kasnije i tiše

Konfigurirajte child sigurnosnu asocijaciju kao i onu za IKE. Kad se poklope samo IKE parametri, tunel se autentificira i zatim ne nosi promet, što je mnogo tiši neuspjeh od odbijanja. Postavite child šifriranje, integritet, grupu i trajanje u istom prolazu. Držite trajanje klijenta na vrijednosti gatewaya ili niže, jer inzistiranje na duljem proizvodi istu poruku nije odabran prijedlog iz drugog razloga. Nesklad tamo izgleda jednako kao nesklad IKE-a u dnevniku.

Provjerite autentificira li se profil certifikatima ili zajedničkom tajnom dok ste u konfiguraciji. Odbijanje prijedloga i odbijanje autentikacije pojavljuju se u različitim linijama, a popravak pogrešne stoji jedan dan. Testirajte svježom vezom nakon svake promjene, jednu varijablu po jednu, jer predmemorirano stanje skriva koji se parametar pomaknuo.

Ostavite naslijeđeni suite samo dok je potreban

Prikvačiti SHA-1 uz grupu od 1024-bit je most, a ne odredište. Oba su zastarjela, a noviji klijenti mogu ih odbiti posve, što znači da će profil pasti na sljedećem uređaju bez ikakve promjene na vašoj strani. Tretirajte prikvačivanje kao privremeno i tako to i napišite u zapisu.

Ako je strongSwan vaš, dodajte moderan prijedlog i pustite da oba kraja pregovaraju prema gore dok naslijeđena stavka ostaje za starije uređaje. Pročitajte statusni izlaz daemona kako biste vidjeli koji je suite svaka veza stvarno koristila. Zatim uklonite prikvačivanje na strani klijenta kad se moderni par potvrdi. Tunel koji se podigne nije dovoljan dokaz, jer se može podignuti upravo na suiteu koji ste htjeli umiroviti. strongSwanova dokumentacija za IKEv2 opisuje sintaksu prijedloga i oznaku strogosti.