iOS-მა თქვენი strongSwan გვირაბი უარყო: შეადარეთ IKE შეთავაზებები

ვერც სერტიფიკატში და ვერც მისამართში ვერაფერი ხსნის, რატომ ვერ მუშაობს წელს ის iPhone, რომელიც შარშან strongSwan-ს უკავშირდებოდა. მისამართში, წინასწარ გაზიარებულ გასაღებში ან კლიენტის იდენტობაში არაფერი უნდა შეცვლილიყო. რაც გადაიწია, ტრანსფორმაციების ის სიაა, რომელზეც ტელეფონის ჩაშენებული კლიენტი მზადაა მოლაპარაკება აწარმოოს, და როგორც კი ეს სია სერვერის სიას აღარ გადაეფარება, გაცვლა მთავრდება მანამ, სანამ ვინმეს იდენტობა შემოწმდება.

ლოგის ხაზი, რომელიც წყვეტს

გაზარდეთ ლოგირების დონე ამ კავშირისთვის და იპოვეთ ორი ჩანაწერი, რომლებიც შედეგს წყვეტენ: რა შესთავაზა ტელეფონმა და რა აირჩია სერვერმა. თუ ლოგი არჩეული შეთავაზების გარეშე მთავრდება და აცხადებს, რომ ვერაფერი დაემთხვა, აუთენტიფიკაცია საერთოდ არ უცდიათ. ახალი სერტიფიკატი და ახალი პაროლი იმ წერტილში არაფერს ცვლის, რადგან ორივე უფრო გვიან ეტაპზე იხარჯება. არც ერთი მათგანი ვერ იმოქმედებს შედეგზე, რომელიც იდენტობის შემოწმებამდე იქნა გადაწყვეტილი.

გამოყავით წარუმატებლობის ორი ფორმა, სანამ რამეს შეცვლით. ტრანსფორმაციების არც ერთი ცვლილება არ ხსნის უარყოფილ სერტიფიკატს, და არც სერტიფიკატის შესწორება არ ხსნის უარყოფილ ტრანსფორმაციას. ლოგის ჩანაწერი, რომელიც არჩეულ შეთავაზებას ასახელებს, გეუბნებათ, ორი შემთხვევიდან რომელი გაქვთ. ამ ჩანაწერის გარეშე თქვენ ვარაუდობთ.

არჩეული ხაზი შეთავაზებას მისი ტრანსფორმაციათა სიმრავლით ასახელებს და არა მეგობრული იარლიყით. შეადარეთ დაშიფვრის, მთლიანობისა და ჯგუფის ველები ამ ხაზში ტელეფონის გამოგზავნილ სიას, რადგან ერთ რომელიმე ველში სხვაობა საკმარისია წაგებისთვის.

რა შეიცვალა ტელეფონში

iOS-ის ერთმა გამოშვებამ შეამცირა ის ალგორითმები, რომლებსაც მისი კლიენტი მზადაა გამოიყენოს. სუსტი მთლიანობის ჰეშები, პატარა Diffie-Hellman ჯგუფები და შეთავაზებები, რომლებიც ძველ ვარიანტებს პირველად ჩამოთვლიან, აღარ იყო მისაღები.

უფრო გრძელი სიები აქ უფრო უსაფრთხო არ არის. არჩევანი მიჰყვება ტელეფონის მისაღებ სიმრავლეს და მის საკუთარ უპირატესობათა რიგს, ამიტომ ფართო კატალოგის მქონე სერვერიც შეიძლება დამარცხდეს მოლაპარაკებაში, როცა თანამედროვე ჩანაწერები არ არის ის, რაც ირჩევა. უპირატესობა მიანიჭეთ მოკლე სიას, სადაც თანამედროვე ჩანაწერები წინ არიან. გრძელი სია, რომელიც ძველი ვარიანტებით იწყება, ზუსტად იმ წარუმატებლობას იწვევს, რომლის თავიდან აცილებასაც ცდილობთ. მისაღები სიმრავლე გარე შეზღუდვაა და ყოველ განახლებაზე იძვრება, ამიტომ გუშინ მომუშავე კონფიგურაცია გუშინდელზეა მტკიცებულება.

ერთი წყვილი, რომელიც ჯერ კიდევ თანხმდება

დღევანდელი ტელეფონებისთვის ერთი თანამედროვე კომბინაცია საკმარისია. ერთი შეთანხმებადი წყვილი ასე გამოიყურება:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike ხაზი ატარებს დაშიფვრას, მთლიანობას და Diffie-Hellman ჯგუფს, რომლებიც გასაღების გაცვლის დროს გამოიყენება. esp ხაზი მხოლოდ მონაცემთა არხს ფარავს, რადგან ჯგუფი მანამდეა გადაწყვეტილი, სანამ ის ამოქმედდება. თავიდან ჩატვირთეთ კავშირი ან გადატვირთეთ დემონი, შემდეგ კვლავ დაუკავშირეთ ტელეფონი. შეინახეთ ეს ჯგუფის მნიშვნელობა მხოლოდ მაშინ, თუ ყველა კლიენტი, რომელსაც ემსახურებით, ჯერ კიდევ იღებს მას, და ნუ გააფართოებთ შეთავაზებას ყველასთვის მხოლოდ იმიტომ, რომ ერთ ძველ პარტნიორს მეტი სჭირდება.

სამი ადგილი გამოსასწორებლად, ერთი ჩვეულებრივ დაკეტილია

• ერთი თანამედროვე შეთავაზება თითოეული პარტნიორისთვის. სწორია, როცა ყველა კლიენტი დღევანდელი ტელეფონი და დესკტოპია. ის ძველ ტრანსფორმაციებს შლის და არა მათ გარშემო მოლაპარაკებას აწარმოებს.
• მეორე კავშირის განსაზღვრება Apple-ის კლიენტებისთვის. ერთ ძველ პარტნიორს ცოცხლად ინახავს და ამავე დროს ტელეფონს აძლევს შეთავაზებას, რომელსაც ის იღებს. ეს კიდევ ერთ კავშირის ბლოკს ჯდება და გამონაკლისს თვალსაჩინოს ხდის.
• კლიენტის შეცვლა. იშვიათად გხსნით: როცა მართვის სისტემა ან აპი პროფილს აწვდის, შეხებისთვის შეთავაზების რედაქტორი არ არსებობს, და ჩაშენებული კლიენტი არც ერთს არ აჩვენებს.

აირჩიეთ მეორე ვარიანტი, როცა თქვენი კონტროლის გარეთ მყოფი მოწყობილობა ვერ განახლდება. აირჩიეთ პირველი, როცა შეგიძლიათ ძველი პარტნიორის პენსიაზე გაშვება და გირჩევნიათ ერთი პოლიტიკა ატაროთ.

ასე თუ ისე, არჩევანი კონფიგურაციაში ჩანს და ესაა აზრი. ჩუმი უკანდახევა, რომელიც ძველ ტრანსფორმაციამდე ჩამოდის მოლაპარაკებით, უარესია ვიდრე ცხადი ბლოკი, რადგან არც ერთი მიმოხილვა ვერასოდეს გამოიტანს მას ზედაპირზე.

დაამტკიცეთ, შემდეგ ჩაწერეთ

კვლავ დაუკავშირდით და სერვერზე სამი ცალკეული ფაქტი შეამოწმეთ: შეთავაზება არჩეულია, კავშირი დამყარებულად ჩანს, და კლიენტმა მისამართი მიიღო. დამყარებული ხელის ჩამორთმევა დისტანციური მისამართის გარეშე აუზზე ან ტრაფიკის სელექტორებზე მიუთითებს და ცალკე ცვლილებას ეკუთვნის. ორივეს ერთად განხილვა გადაწყვეტილ მოლაპარაკებას გადაუწყვეტელად აჩენს.

ჩაწერეთ მიღებული ტრანსფორმაციათა სიმრავლე, როდის შეცვალეთ ის და რომელი კლიენტის აწყობა შეამოწმეთ. შემდეგმა განახლებამ შეიძლება მოთხოვნა ისევ გადასწიოს, და მომუშავე მნიშვნელობები პირველია, რაც ახლის გვერდით გინდათ გქონდეთ.