iOS IKEv2 мен strongSwan: ұсыныс таңдалмағанда тізімді қалай түзету керек

iPhone туннельді көтереді, шлюз ештеңе қайтармайды, ал телефон жалпы қате көрсетеді. strongSwan журналы нақтырақ: no proposal chosen. Бұл хабарлама рұқсат етілген шифрлау жиынтықтарының екі тізімі ешқашан қабыспағанын, сондықтан айырбас аутентификация басталмай тұрып аяқталғанын білдіреді. Бұл сәйкестендіру мәселесі, ал шешім тізімдерді қиылыстыру.

Шлюз өзінің саясатын қайда жариялайды

strongSwan өз саясатын конфигурацияға жазады, ал соңындағы леп белгісі сол саясаттың қалай оқылатынын шешеді. Белгі болса, тізім толық: тек сол жазбалар қабылданады, басқа ештеңе. Белгісіз сол жол қалау реті болады да, демон өзіңіз күтпеген нәрсені таңдауы мүмкін. Бірдеңені аударудан бұрын қай нысан орнатылғанын сұраңыз, өйткені екеуі бір клиентке қатысты басқаша әрекет етеді. Нақты жолды белгісімен бірге жазып алып, соған қарсы тексеріңіз.

Кеңірек тізім ұсынатын клиент те бекітілген шлюзге қосыла алады, егер екі жақта кемінде бір үйлесім болса. Болмайтыны бекітілген жиыннан тыс келіссөз.

Сондықтан басқа VPN қолданбасынан көшірілген профиль сіздікі істемейтін жерде істеуі мүмкін: басқа қолданба өзге тізім жіберген.

Атаулар сәйкес болуы керек, жақсаруы емес

strongSwan мәндерін iOS-ке көшіргенде адамды екі аударма адастырады. IKE ұсынысында SHA1 деп жазылған тұтастық алгоритмі қысқартылған түрінде жүреді, iOS оны .SHA96 деп атайды. modp1024 деп жазылған Diffie-Hellman тобы 2-топ, iOS оны .group2 деп атайды. SHA-256 немесе 14-топты қою тек ескі жұпты қабылдайтын шлюзбен келіссөз жүргізбейді. Клиент күштірек емес, дәл сол алгоритмді сипаттауы керек.

Бұл мәндерді NEVPNProtocolIKEv2 ішінде анық орнатыңыз. Әдепкі мәндер ауыстырылатын профильден кеңірек немесе тар болуы мүмкін, ал айырмашылық қол алысу сәтсіз болғанда ғана көрінеді.

Еншілес ұсыныс кешірек және тыныш құлдырайды

Еншілес қауіпсіздік бірлестігін де IKE-мен қатар баптаңыз. Тек IKE параметрлері сәйкес келсе, туннель аутентификациядан өтіп, кейін трафикті тасымалдамайды, бұл бас тартудан әлдеқайда тыныш сәтсіздік. Еншілестің шифрлауын, тұтастығын, тобын және өмір сүру мерзімін сол бір қадамда орнатыңыз. Клиент мерзімін шлюз мәнінен төмен немесе тең ұстаңыз, өйткені ұзағырақ талап ету басқа себептен сол no proposal chosen хабарын береді. Ондағы сәйкессіздік журналдағы IKE сәйкессіздігі сияқты көрінеді.

Конфигурацияда жүргенде профиль сертификаттармен әлде ортақ құпиямен аутентификацияланатынын тексеріңіз. Ұсыныстың қабылданбауы мен аутентификацияның қабылданбауы бөлек жолдарда шығады, ал қатесін түзету бір күнге тұрар. Әр өзгерістен кейін жаңа қосылыммен, бір уақытта бір айнымалымен тексеріңіз, өйткені кэштегі күй қай параметр жылжығанын жасырады.

Ескі жиынтықты тек қажет кезде ғана қалдырыңыз

SHA-1-ді 1024 биттік топпен бекіту көпір, меже емес. Екеуі де ескірген, ал жаңа клиенттер олардан мүлдем бас тартуы мүмкін, яғни профиль сіз жағыңыздан ешбір өзгеріссіз келесі құрылғыда сәтсіз болады. Бекітуді уақытша деп қарап, жазбада солай жазыңыз.

Егер strongSwan сіздікі болса, заманауи ұсыныс қосып, ескі жазба ескі құрылғылар үшін қала тұрғанда екі ұшты жоғары қарай келіссөз жүргізуге жіберіңіз. Демонның күй шығысын оқып, әр қосылым қай жиынтықты шын мәнінде қолданғанын көріңіз. Заманауи жұп расталған соң клиент жағындағы бекітуді алып тастаңыз. Туннельдің көтерілуі жеткілікті дәлел емес, өйткені ол сіз шығарғыңыз келген жиынтықта да көтерілуі мүмкін. strongSwan IKEv2 құжаттамасы ұсыныс синтаксисін және strict белгісін сипаттайды.