Ինչու է IKEv2-ը Android-ում ձախողվում ոչ ստանդարտ UDP պորտում

Դարպասը պատասխանում է IKEv2-ին UDP 4443-ում ինչ-որ պատճառով, պրոֆիլում կա Server անունով դաշտ, դուք մուտքագրում եք հոսթի անունը և պորտը, և հեռախոսը հայտնում է, որ չի կարող հասնել սերվերին կամ չի կարող լուծել հասցեն։ Ոչինչ չի արգելափակվում։ Android-ի բնիկ ձևը սպասում է հոսթի, և նույնը ճիշտ է Windows-ում։ Հատուկ պորտը հաճախորդի հնարավորություն է նախքան սերվերի կարգավորում լինելը, և միայն որոշ հաճախորդներ թույլ են տալիս արտահայտել այն։ Անցեք երեք մասերը հերթականությամբ՝ ինչ կարող է ասել հաճախորդը, ինչի վրա է լսում սերվերը, և արդյոք երկու ծայրերը նույն կերպ են շրջանակավորում փաթեթները։

Ինչ ուղարկեց հեռախոսը իրականում

Անվան համար նախատեսված դաշտում host:port տողը լուծվում է որպես անուն։ Լուծիչը ոչինչ չի վերադարձնում vpn.example.net:4443-ի համար, և ձեր տեսած սխալը անվան լուծման կամ անհասանելիության ձախողում է, ոչ թե պորտի ժամանակի սպառում։ Այդ տարբերությունը կարևոր է, որովհետև ավելի կարճ անունով կամ այլ ցանցով կրկնելը երբեք չի ուղղի տողը, որը ձևը չի կարող վերլուծել։

Android-ի բնիկ IKEv2 պրոֆիլը, ինչպես Windows-ի ներկառուցված VPN հաճախորդը, ամրացված է ստանդարտ IKE պորտերին։ Նրանցից ոչ մեկը պորտի դաշտ չի ցուցադրում, և պրոֆիլի ոչ մի խմբագրում այն չի ավելացնում։ Եթե օպերատորի լսիչը իսկապես 4443-ում է, ներկառուցված հաճախորդը սխալ գործիք է, ոչ թե սխալ կարգավորված։

Օգտագործեք հաճախորդ, որը ցույց է տալիս պորտը

strongSwan-ի Android հաճախորդը փաստաթղթավորում է կարգավորվող սերվերի պորտը պրոֆիլի ընդլայնված կարգավորումներում, դրա համար այն հայտնվում է այս ձևավորման գրեթե բոլոր աշխատող բաղադրատոմսերում։ Այդ աջակցությունը պատկանում է այդ հաճախորդին, մեկ այլ IKEv2 հավելված կամ նույն հավելվածի մատակարարի ճյուղավորում կարող է չցուցադրել նույն դաշտը, թեև հիմքում ընկած strongSwan դեմոնը աջակցում է դրան։

Օպերատորից պահանջեք ամբողջ հավաքածուն միանգամից՝ դարպասի անունը, UDP պորտը, նույնականացման եղանակը և սերվերի ինքնությունը, որը հաճախորդը պետք է սպասի։ Հատուկ պորտը պատճառ չէ անջատելու վկայագրերի ստուգումը կամ փոխելու արձանագրությունները։ Մուտքագրեք պորտը այնտեղ, որտեղ տեղադրված հաճախորդը սպասում է այն, և եթե այդ հաճախորդը նման դաշտ չունի, պատասխանը մեկ այլ հաստատված հաճախորդ է, ոչ թե գուշակված շրջանցում։

Սերվերն ունի երկու պորտ, և երկուսն էլ պետք է համընկնեն

IKE-ը սկսվում է UDP 500-ում, և NAT անցումը սովորաբար տեղափոխում է IKE-ը և փաթեթավորված ESP-ն UDP 4500։ Սրանք առանձին կարգավորումներ են strongSwan-ում, ուստի մեկ հատուկ պորտ տեղափոխված սերվերը պետք է երկուսն էլ փոխի նույն արժեքի:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Երբ մեկ պորտ սպասարկում է երկու դերերը, դեմոնը պետք է նույն սոքեթում տարբերի IKE-ը ESP-in-UDP-ից, ինչը անում է IKE հաղորդագրությունից առաջ եկող չորս բայթանոց ոչ ESP նշիչի միջոցով։ Այդ պատճառով հաճախորդը չի կարող բանակցել հատուկ պորտում և հետո լուռ շարունակել 4500-ում, և այդ պատճառով «պարզապես փոխեք պորտը» արտահայտությունը թաքցնում է շրջանակավորման պահանջ։

Փոխանցումը լսիչ չէ

4443-ը սովորական IKE լսիչ փոխանցելը ձախողման այն եղանակն է, որը գրեթե հաջող է թվում։ Առաջին փոխանակումը գալիս է, սերվերը պատասխանում է, և հետո կապը կանգ է առնում կամ բանալիները նորից արտադրվում են դատարկության մեջ, որովհետև պատասխանը դուրս է գալիս այլ պորտից, և հետագա փաթեթավորված երթևեկը երբեք չի համապատասխանում երկու ծայրերի ստեղծած վիճակին։ Կանոնը, որը վերագրում է նպատակակետ պորտը առանց լսիչը տեղափոխելու, տալիս է հենց այս կիսաբաց արդյունքը։

Ուղին պետք է թույլ տա նաև UDP ծայրից ծայր։ Այն, որ TCP 443-ը անցնում է հյուրանոցային կամ օպերատորի ցանցով, ոչինչ չի ասում UDP պորտում IKEv2-ի մասին, նույնիսկ նույն համարով։ Այնտեղ, որտեղ թույլատրվում է միայն TCP 443-ը, հատուկ UDP պորտը IKEv2-ը HTTPS չի դարձնում, և ճիշտ պատասխանը կարող է լինել մեկ այլ մուտքի ուղի, ոչ թե պորտի մեկ այլ փորձ։

Փորձարկելիս առանձնացրեք երեք փուլերը

Գրառեք սերվերում, մինչ հաճախորդը մեկ անգամ փորձում է։ Հարցումը, որը երբեք չի գալիս, վերջնակետի կամ ֆայրվոլի հարց է, հարցումը, որը գալիս է առանց պատասխանի, լսիչի կամ քաղաքականության հարց է, իսկ լռությամբ հետևվող պատասխանը շրջանակավորման կամ ինքնության հարցն է։

tcpdump -ni eth0 -vv udp port 4443

Ապա կարդացեք հաճախորդի հաղորդագրությունը, ոչ թե նրա պտտվող ցուցիչը։ Առաջարկի սխալը նշանակում է, որ ալգորիթմները չեն համընկնում, նույնականացման ձախողումը նշանակում է, որ ինքնությունները կամ վկայագրերը չեն համընկնում, և առանց պատասխանի կրկնվող վերաուղարկումները նշանակում են, որ այդ պորտում ոչինչ չի պատասխանում։ Փորձարկեք մեկ փուլ մեկ անգամ և փոխեք մեկ դաշտ փորձերի միջև, strongSwan-ի NAT անցման փաստաթղթերը նկարագրում են նշիչը և պորտի վարքը, որը գրառումը ցույց է տալիս ձեզ։