Android-та IKEv2 стандартты емес UDP портында неге істемейді

IKEv2-нің жергілікті нысаны портты емес, мекенжайды қабылдайды. Клиенттің оны қолдайтынын тексеріңіз, сервердің екі портын да орнатыңыз, содан кейін кадрлау мен журналдарды қараңыз.

Шлюз IKEv2-ге UDP 4443 портында бір себеппен жауап береді, профильде Server деп аталатын өріс бар, сіз хост атауы мен портты енгізесіз, ал телефон серверге жете алмайтынын немесе мекенжайды шеше алмайтынын хабарлайды. Ештеңе бұғатталмайды. Android-тың жергілікті нысаны хостты күтеді, бұл Windows-та да дұрыс. Теңшелетін порт сервер параметрі болмай тұрып клиенттің мүмкіндігі болып табылады және оны тек кейбір клиенттер білдіруге рұқсат етеді. Үш бөлімді ретімен қарап шығыңыз: клиент не дей алады, сервер нені тыңдайды және екі жақ пакеттерді бірдей кадрлай ма.

Телефон шын мәнінде не жіберді

Атауға арналған өрістегі host:port жолы атау ретінде шешіледі. Шешуші vpn.example.net:4443 үшін ештеңе қайтармайды, ал сіз көрген қате порттағы уақыттың бітуі емес, атауды шешу немесе қолжетімсіздік қатесі. Бұл айырмашылық маңызды, өйткені қысқарақ атаумен немесе басқа желімен қайталау нысан талдай алмайтын жолды ешқашан түзетпейді.

Android-тағы жергілікті IKEv2 профилі, Windows-тың кіріктірілген VPN клиенті сияқты, стандартты IKE порттарына бекітілген. Олардың ешқайсысы порт өрісін көрсетпейді, ал профильді өңдеу оны қоспайды. Егер оператордың тыңдаушысы шынымен 4443-те болса, кіріктірілген клиент қате конфигурацияланған емес, дұрыс емес құрал.

Портты көрсететін клиентті пайдаланыңыз

strongSwan-ның Android клиенті кеңейтілген профиль параметрлерінде теңшелетін сервер портын құжаттайды, сондықтан ол бұл дизайн үшін жұмыс істейтін барлық дерлік рецептте кездеседі. Бұл қолдау сол клиентке тиесілі: басқа IKEv2 қолданбасы немесе сол қолданбаның жеткізуші форкі негізіндегі strongSwan демоны қолдаса да, сол өрісті көрсетпеуі мүмкін.

Оператордан бүкіл жиынтықты бірден сұраңыз: шлюз атауы, UDP порты, аутентификация әдісі және клиент күтуі тиіс сервер идентификациясы. Теңшелетін порт сертификат тексеруін өшіруге немесе протоколдарды ауыстыруға себеп емес. Портты орнатылған клиент күтетін жерге енгізіңіз, ал егер сол клиентте мұндай өріс болмаса, жауап болжалды айла емес, басқа мақұлданған клиент.

Серверде екі порт бар және екеуі де сәйкес болуы керек

IKE UDP 500-ден басталады, ал NAT өтуі әдетте IKE пен инкапсуляцияланған ESP-ні UDP 4500-ге ауыстырады. Бұлар strongSwan-да жеке параметрлер, сондықтан бір теңшелетін портқа көшірілген сервер екеуін де бірдей мәнге өзгертуі керек:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Бір порт екі рөлді де атқарғанда, демон сол сокетте IKE-ні ESP-in-UDP-ден ажыратуы керек, оны IKE хабарламасының алдында келетін төрт байттық ESP емес маркермен жасайды. Сондықтан клиент теңшелетін портта келіссөз жүргізіп, содан кейін 4500-де үнсіз жалғастыра алмайды, сондықтан «портты ғана өзгерт» деген сөз тіркесі кадрлау талабын жасырады.

Жалғау тыңдаушы емес

4443-ті қарапайым IKE тыңдаушысына жалғау — сәтті болып көрінетін сәтсіздік режимі. Алғашқы алмасу келеді, сервер жауап береді, содан кейін байланыс тоқтайды немесе кілттерді ештеңеге жаңартады, өйткені жауап басқа порттан шығады және кейінгі инкапсуляцияланған трафик екі жақ жасаған күйге ешқашан сәйкес келмейді. Тыңдаушыны жылжытпай тағайындалған портты қайта жазатын ереже дәл осы жартылай ашық нәтижені береді.

Маршрут UDP-ге де ұшынан ұшына рұқсат беруі керек. TCP 443-тің қонақүй немесе оператор желісі арқылы өтуі UDP портындағы IKEv2 туралы ештеңе айтпайды, тіпті нөмірі бірдей болса да. Тек TCP 443 рұқсат етілген жерде теңшелетін UDP порты IKEv2-ні HTTPS-ке айналдырмайды, ал дұрыс жауап тағы бір порт эксперименті емес, басқа кіру жолы болуы мүмкін.

Сынақ кезінде үш кезеңді бөліңіз

Клиент бір рет талпынғанда серверде жазып алыңыз. Ешқашан келмейтін сұрау — соңғы нүкте немесе брандмауэр мәселесі; жауапсыз келетін сұрау — тыңдаушы немесе саясат мәселесі; ал үнсіздікпен жалғасатын жауап — кадрлау немесе идентификация мәселесі.

tcpdump -ni eth0 -vv udp port 4443

Содан кейін клиенттің айналмалы индикаторын емес, оның хабарламасын оқыңыз. Ұсыныс қатесі алгоритмдердің сәйкес келмейтінін білдіреді, аутентификация сәтсіздігі идентификациялар немесе сертификаттар сәйкес келмейтінін білдіреді, ал жауапсыз қайта жіберулер сол портта ештеңе жауап бермейтінін білдіреді. Бір кезеңнен сынаңыз және талпыныстар арасында бір өрісті өзгертіңіз; NAT өтуі туралы strongSwan құжаттамасы түсірілім сізге көрсетіп тұрған маркер мен порт мінез-құлқын сипаттайды.

Қатысты мақалалар