iOS сіздің strongSwan туннелін қабылдамады: IKE ұсыныстарын салыстырыңыз

Жұмыс істейтін мекенжай мен жарамды сертификат та келіссөзде ұтылуы мүмкін. ike және esp жолдарын телефон қабылдайтын нұсқамен салыстырыңыз.

Сертификатта да, мекенжайда да былтыр strongSwan-ға қосылатын iPhone биыл неге сәтсіз болатынын ештеңе түсіндірмейді. Мекенжай, алдын ала бөлінген кілт немесе клиенттің жеке басы өзгеруі міндетті емес. Жылжығаны — телефонның кіріктірілген клиенті келісуге дайын трансформациялар тізімі, және бұл тізім сервердің тізімімен қабысып тұруды тоқтатқанда, айырбас біреудің жеке басы тексерілмей тұрып аяқталады.

Шешетін журнал жолы

Сол қосылымның журнал деңгейін көтеріп, нәтижені шешетін екі жазбаны табыңыз: телефон нені ұсынды және сервер нені таңдады. Егер журнал таңдалған ұсыныссыз аяқталып, ештеңе сәйкес келмегенін хабарласа, аутентификация мүлде қолданылмаған. Жаңа сертификат пен жаңа құпия сөз сол сәтте ештеңені өзгертпейді, өйткені екеуі де кейінгі кезеңде жұмсалады. Екеуі де жеке бас тексерілмей тұрып шешілген нәтижеге әсер ете алмайды.

Бірдеңені өңдеу алдында сәтсіздіктің екі түрін ажыратыңыз. Трансформацияларды өңдеу қабылданбаған тіркелгі деректерін құтқармайды, ал тіркелгі деректерін түзеу қабылданбаған трансформацияны құтқармайды. Таңдалған ұсынысты атайтын журнал жазбасы қай жағдайда екеніңізді айтады. Сол жазбасыз сіз болжайсыз.

Таңдалған жол ұсынысты жайлы белгімен емес, трансформация жиынтығымен атайды. Шифрлау, тұтастық және топ өрістерін салыстырыңыз сол жолда телефон жіберген тізіммен, өйткені кез келген бір өрістегі сәйкессіздік ұтылуға жеткілікті.

Телефонда не өзгерді

iOS-тың бір шығарылымы клиенті қолдануға дайын алгоритмдерді қысқартты. Әлсіз тұтастық хэштері, шағын Diffie-Hellman топтары және ескі нұсқаларды бірінші тізіп көрсететін ұсыныстар енді қабылданбайды.

Мұнда ұзын тізім қауіпсіз емес. Таңдау телефонның қабылдайтын жиынтығына және оның өз басымдық ретіне сүйенеді, сондықтан кең каталог жариялайтын сервер де заманауи жазбалар таңдалмағанда келіссөзден ұтылуы мүмкін. Заманауи жазбалар алдында тұрған қысқа тізімді қалаңыз. Ескі нұсқалармен басталатын ұзын тізім дәл қашқыңыз келген сәтсіздікті шақырады. Қабылданатын жиынтық — клиент жаңарған сайын жылжитын сыртқы шектеу, сондықтан кеше істеген конфигурация кеше туралы дәлел ғана.

Әлі келісетін бір жұп

Қазіргі телефондарға бір заманауи комбинация жеткілікті. Келісетін бір жұп былай көрінеді:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike жолы кілт айырбасы жүріп жатқанда қолданылатын шифрлауды, тұтастықты және Diffie-Hellman тобын тасымалдайды. esp жолы тек деректер арнасын қамтиды, өйткені топ ол күшіне енбей тұрып шешілген. Қосылымды қайта жүктеңіз немесе демонды қайта іске қосыңыз, содан кейін телефонды қайта қосыңыз. Бұл топ мәнін тек қызмет көрсететін әр клиент оны әлі де қабылдаса ғана сақтаңыз және бір ескі серіктеске көбірек керек деп ұсынысты барлығына кеңейтпеңіз.

Түзететін үш орын, біреуі әдетте жабық

  • Әр серіктеске бір заманауи ұсыныс. Барлық клиент қазіргі телефондар мен десктоптар болса, дұрыс. Ескі трансформацияларды айнала келісу орнына жояды.
  • Apple клиенттеріне арналған екінші қосылым анықтамасы. Бір ескі серіктесті тірі ұстайды және телефонға ол қабылдайтын ұсыныс береді. Бұл тағы бір қосылым блогын тұтынады және ерекшелікті көрінетін етеді.
  • Клиентті ауыстыру. Сізге сирек ашық: басқару жүйесі немесе қолданба профильді жеткізсе, ұстайтын ұсыныс редакторы болмайды, ал кіріктірілген клиент оны көрсетпейді.

Бақылауыңыздан тыс құрылғыны жаңарту мүмкін болмаса, екінші нұсқаны таңдаңыз. Ескі серіктесті зейнетке шығара алып, бір ғана саясат ұстауды қаласаңыз, біріншісін таңдаңыз.

Қалай болса да, таңдау конфигурацияда көрінеді, мәселе де осында. Ескі трансформацияға дейін келісіп төмендейтін үнсіз қайту айқын блоктан нашар, өйткені ешбір шолу оны ешқашан бетіне шығармайды.

Дәлелдеңіз, содан кейін жазып қойыңыз

Қайта қосылып, серверде үш бөлек фактіні тексеріңіз: ұсыныс таңдалды, қосылым орнатылған күйде көрінеді және клиент мекенжай алды. Қашықтағы мекенжайсыз орнатылған қол алысу пулға немесе трафик селекторларына нұсқайды және ол жеке өзгеріске жатады. Екеуін бірге қарастыру шешілген келіссөзді шешілмеген күйде көрсетеді.

Қабылданған трансформация жиынтығын, оны қашан өзгерткеніңізді және қай клиент жинағын тексергеніңізді жазыңыз. Келесі жаңарту талапты қайта жылжытуы мүмкін, ал істеген мәндер жаңаларының қасында бірінші керек нәрсе.

Қатысты мақалалар