iOS IKEv2 և strongSwan․ «առաջարկ չընտրվեց»՝ ուղղիր ցանկը

iPhone-ը բարձրացնում է թունելը, դարպասը ոչինչ չի պատասխանում, իսկ հեռախոսը ցույց է տալիս ընդհանուր ձախողում։ strongSwan-ի մատյանն ավելի կոնկրետ է՝ no proposal chosen։ Այդ հաղորդագրությունը նշանակում է, որ ընդունելի ծածկագրման հավաքածուների երկու ցանկերը երբեք չեն հատվել, այնպես որ փոխանակումն ավարտվել է մինչև նույնականացումը սկսվելը։ Սա համապատասխանեցման խնդիր է, և լուծումը ցանկերը հատելն է։

Որտեղ դարպասը հայտարարում է իր քաղաքականությունը

strongSwan-ը իր քաղաքականությունը գրում է կազմաձևման մեջ, և վերջում դրված բացականչական նշանը որոշում է, թե ինչպես կարդալ այն։ Նշանի դեպքում ցանկը սպառիչ է՝ ընդունվելու են այդ գրառումները և ուրիշ ոչինչ։ Առանց նշանի նույն տողը նախապատվության կարգ է, և դեմոնը կարող է ընտրել մի բան, որը դու չէիր նախատեսել։ Հարցրու, թե որ ձևն է տեղադրված, նախքան որևէ բան թարգմանելը, որովհետև երկուսը տարբեր կերպ են վարվում նույն հաճախորդի հետ։ Գրանցիր ճշգրիտ տողը՝ նշանը ներառյալ, և փորձարկիր դրա դեմ։

Ավելի լայն ցանկ առաջարկող հաճախորդը դեռ կարող է միանալ ամրագրված դարպասին, քանի դեռ գոնե մեկ համակցություն կա երկու կողմերում։ Չի կարող տեղի ունենալ ամրագրված հավաքածուից դուրս բանակցություն։

Այդ պատճառով այլ VPN հավելվածից պատճենված պրոֆիլը կարող է աշխատել այնտեղ, որտեղ քոնը չի աշխատում, քանի որ մյուս հավելվածը տարբեր ցանկ էր ուղարկում։

Անունները պետք է համընկնեն, ոչ թե լավանան

Երկու թարգմանություն շփոթեցնում են նրանց, ովքեր արժեքներ են տեղափոխում strongSwan-ից iOS։ IKE առաջարկում SHA1 գրված ամբողջականության ալգորիթմը գնում է իր կրճատ ձևով, որը iOS-ը կոչում է .SHA96։ modp1024 գրված Diffie-Hellman խումբը 2-րդ խումբն է, որը iOS-ը կոչում է .group2։ SHA-256-ը կամ 14-րդ խումբը փոխարինելը չի բանակցի դարպասի հետ, որն ընդունում է միայն հին զույգը։ Հաճախորդը պետք է նկարագրի նույն ալգորիթմը, ոչ թե ավելի ուժեղը։

Այդ արժեքները բացահայտ սահմանիր NEVPNProtocolIKEv2-ում։ Կանխադրվածները կարող են ավելի լայն կամ նեղ լինել, քան փոխարինվող պրոֆիլը, և տարբերությունը երևում է միայն այն ժամանակ, երբ ձեռքսեղմումը ձախողվում է։

Երեխա առաջարկը ձախողվում է ավելի ուշ և ավելի լուռ

Կազմաձևիր նաև երեխա անվտանգության միավորումը, ոչ միայն IKE-ը։ Երբ համընկնում են միայն IKE պարամետրերը, թունելը նույնականացվում է, ապա ոչ մի երթևեկություն չի տանում, ինչը շատ ավելի լուռ ձախողում է, քան մերժումը։ Երեխայի ծածկագրումը, ամբողջականությունը, խումբը և կյանքի տևողությունը սահմանիր նույն քայլում։ Հաճախորդի տևողությունը պահիր դարպասի արժեքին հավասար կամ դրանից ցածր, քանի որ ավելի երկար պահանջելը տալիս է նույն no proposal chosen հաղորդագրությունը այլ պատճառից։ Այնտեղ անհամապատասխանությունը նույն տեսքն ունի, ինչ մատյանի մեջ IKE անհամապատասխանությունը։

Ստուգիր, թե պրոֆիլը նույնականացվում է վկայագրերով, թե ընդհանուր գաղտնիքով, մինչ կազմաձևման մեջ ես։ Առաջարկի մերժումը և նույնականացման մերժումը հայտնվում են տարբեր տողերում, և սխալը ուղղելը մեկ օր արժե։ Փորձարկիր նոր միացումով յուրաքանչյուր փոփոխությունից հետո՝ մեկ փոփոխական միաժամանակ, որովհետև քեշավորված վիճակը թաքցնում է, թե որ պարամետրն է տեղաշարժվել։

Ժառանգական հավաքածուն թող միայն այնքան, որքան անհրաժեշտ է

SHA-1-ը 1024-բիթանոց խմբով ամրագրելը կամուրջ է, ոչ նպատակակետ։ Երկուսն էլ հնացած են, և ավելի նոր հաճախորդները կարող են ուղղակի մերժել դրանք, ինչը նշանակում է, որ պրոֆիլը կձախողվի հաջորդ սարքում՝ առանց քո կողմից որևէ փոփոխության։ Վերաբերվիր ամրագրմանը որպես ժամանակավոր և գրիր այդ մասին արձանագրության մեջ։

Եթե strongSwan-ը քոնն է, ավելացրու ժամանակակից առաջարկ և թույլ տուր երկու ծայրերին բանակցել դեպի վեր, մինչ ժառանգական գրառումը մնում է հին սարքերի համար։ Կարդա դեմոնի կարգավիճակի ելքը՝ տեսնելու, թե յուրաքանչյուր միացում իրականում որ հավաքածուն է օգտագործել։ Ապա հանիր հաճախորդի կողմի ամրագրումը, երբ ժամանակակից զույգը հաստատվի։ Բարձրացած թունելը բավարար ապացույց չէ, որովհետև այն կարող է բարձրանալ այն հավաքածուի վրա, որը դու փորձում էիր թոշակի ուղարկել։ strongSwan IKEv2 փաստաթղթերը նկարագրում են առաջարկների շարահյուսությունը և strict նշիչը։