Hvers vegna IKEv2 á Android mistekst á óstöðluðum UDP-gátt

Innbyggt IKEv2-eyðublað tekur við vistfangi, ekki gátt. Staðfestið að biðlarinn styðji það, stillið báðar gáttir netþjónsins og skoðið svo rammagreiðsluna og annálana.

Hliðið svarar IKEv2 á UDP 4443 af einhverri ástæðu, sniðið hefur reit sem heitir Server, þú slærð inn vefþjónsnafnið og gáttina, og síminn tilkynnir að hann komist ekki í netþjóninn eða geti ekki leyst vistfangið. Engu er lokað. Innbyggt eyðublað Android vill fá vefþjón, og það sama gildir í Windows. Sérsniðin gátt er eiginleiki biðlarans áður en hún verður stilling netþjónsins, og aðeins sumir biðlarar leyfa þér að tjá hana. Farðu í gegnum hlutana þrjá í röð: hvað biðlarinn getur sagt, við hvað netþjóninn hlustar og hvort báðir endar rammagreiða pakkana á sama hátt.

Hvað síminn sendi í raun

Strengurinn host:port í reit sem er ætlaður fyrir nafn er leystur sem nafn. Uppflettingin skilar engu fyrir vpn.example.net:4443, og villan sem þú sér er bilun í nafnauppflettingu eða óaðgengi, ekki tímamörk á gátt. Sá munur skiptir máli, því að reyna aftur með styttra nafni eða öðru neti lagar aldrei streng sem eyðublaðið getur ekki þáttað.

Innbyggt IKEv2-snið á Android, líkt og innbyggði Windows VPN-biðlarinn, er bundið við stöðluðu IKE-gáttirnar. Hvortugt sýnir gáttarreit, og engin sniðbreyting bætir einum við. Ef hlustari rekstraraðilans er í raun á 4443, þá er innbyggði biðlarinn rangt verkfæri, ekki rangt stillt verkfæri.

Notaðu biðlara sem sýnir gáttina

strongSwan-biðlarinn fyrir Android skjalfestir stillanlega netþjónsgátt í ítarlegum sniðstillingum, þess vegna kemur hann fyrir í næstum hverri virkri uppskrift fyrir þessa hönnun. Sá stuðningur tilheyrir þeim biðlara: önnur IKEv2-forrit, eða söluaðilaklofningur sama forrits, sýnir kannski ekki sama reit þótt undirliggjandi strongSwan-púkinn styðji hann.

Biddu rekstraraðilann um allt settið í einu: hliðsnafn, UDP-gátt, auðkenningaraðferð og netþjónsandlitið sem biðlarinn á að búast við. Sérsniðin gátt er ekki ástæða til að slökkva á vottorðaprófun eða skipta um samskiptareglur. Sláðu gáttina inn þar sem uppsetti biðlarinn á von á henni, og ef sá biðlari hefur ekki slíkan reit, er svarið annar samþykktur biðlari en ekki giskaður krókur.

Netþjóninn hefur tvær gáttir, og báðar verða að passa

IKE hefst á UDP 500, og NAT-ferð færir IKE og umsaminn ESP venjulega á UDP 4500. Þetta eru aðskildar stillingar í strongSwan, svo netþjónn sem færður er á eina sérsniðna gátt verður að breyta báðum í sama gildi:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Með eina gátt fyrir bæði hlutverkin verður púkinn að greina IKE frá ESP-í-UDP á sama sambandi, sem hann gerir með fjögurra bæta merkinu sem er ekki ESP og kemur á undan IKE-skilaboðum. Þess vegna getur biðlari ekki samið á sérsniðnu gáttinni og haldið svo áfram þegjandi á 4500, og þess vegna leynir setningin „breyttu bara gáttinni“ kröfu um rammagreiðslu.

Framsending er ekki hlustari

Framsending 4443 á venjulegan IKE-hlustara er bilunarhamurinn sem virðist næstum heppnaður. Fyrsta skiptin berast, netþjóninn svarar, og þá stöðvast tengingin eða endurnýjar lykla í ekkert, því svarið fer út um aðra gátt og síðari umsaminn umferð passar aldrei við ástandið sem endarnir tveir bjuggu til. Regla sem endurskrifar áfangagáttina án þess að færa hlustarann gefur nákvæmlega þessa hálfopnu niðurstöðu.

Leiðin verður líka að leyfa UDP frá enda til enda. Það að TCP 443 komist í gegnum hótel- eða rekstraranet segir ekkert um IKEv2 á UDP-gátt, jafnvel með sama númeri. Þar sem aðeins TCP 443 er leyft gerir sérsniðin UDP-gátt IKEv2 ekki að HTTPS, og rétta svarið gæti verið önnur aðgangsleið í stað annarrar gáttartilraunar.

Aðskildu þrjú stigin við prófun

Taktu upp á netþjóninum á meðan biðlarinn reynir einu sinni. Beiðni sem berst aldrei er spurning um endapunkt eða eldvegg; beiðni sem berst án svars er spurning um hlustara eða stefnu; svar sem þögn fylgir er spurningin um rammagreiðslu eða auðkenni.

tcpdump -ni eth0 -vv udp port 4443

Lestu svo skilaboð biðlarans í stað snúningsmerkisins. Tillöguvilla þýðir að reikniritin stemma ekki, auðkenningarbilun þýðir að auðkenni eða vottorð stemma ekki, og endurteknar sendingar án svars þýða að ekkert svarar á þeirri gátt. Prófaðu eitt stig í einu og breyttu einum reit milli tilrauna; skjöl strongSwan um NAT-ferð lýsa merkinu og gáttarhegðuninni sem upptakan sýnir þér.

Tengdir greinar