iOS IKEv2 жана strongSwan: сунуш тандалбады, тизмени оңдоңуз
«Сунуш тандалбады» дегени эки тизме эч качан кесилишпегендиги. SHA1ди SHA-96га, modp1024тү group 2ге которуп, бала сунушту да коюңуз.
iPhone туннелди көтөрөт, шлюз эч нерсе кайтарбайт, ал эми телефон жалпы катаны көрсөтөт. strongSwan журналы такыраак: no proposal chosen. Бул билдирүү кабыл алынуучу шифрлоо топтомдорунун эки тизмеси эч качан дал келбегенин, ошондуктан алмашуу аутентификация башталганга чейин бүткөнүн билдирет. Бул дал келтирүү маселеси, ал эми чечим тизмелерди кесиштирүү.
Шлюз өз саясатын кайда жарыялайт
strongSwan саясатын конфигурацияга жазат, ал эми аягындагы леп белгиси ал саясаттын кантип окуларын чечет. Белги менен тизме толук: ушул жазуулар гана кабыл алынат, башка эч нерсе. Белгисиз ошол эле сап артыкчылык тартиби болот, демон сиз ойлогон эмес нерсени тандашы мүмкүн. Бир нерсени которуудан мурун кайсы форма орнотулганын сураңыз, анткени экөө бирдей кардарга башкача мамиле кылат. Белгини кошуп так сапты жазып алыңыз жана ошого каршы текшериңиз.
Кеңири тизме сунуштаган кардар да бекитилген шлюзга туташа алат, эгер эки тарапта жок дегенде бир айкалыш болсо. Болбой турган нерсе бекитилген топтомдон тышкаркы сүйлөшүү.
Ошондуктан башка VPN колдонмосунан көчүрүлгөн профиль сиздики иштебеген жерде иштеши мүмкүн: башка колдонмо башка тизме жөнөткөн.
Аталыштар дал келиши керек, жакшырбашы керек
strongSwan маанилерин iOSго көчүргөндө адамды эки котормо адаштырат. IKE сунушунда SHA1 деп жазылган бүтүндүк алгоритми кыскартылган түрүндө жүрөт, iOS аны .SHA96 деп атайт. modp1024 деп жазылган Diffie-Hellman тобу 2-топ, iOS аны .group2 деп атайт. SHA-256 же 14-топту коюу эски жупту гана кабыл алган шлюз менен сүйлөшпөйт. Кардар күчтүүрөөк эмес, ошол эле алгоритмди сүрөттөшү керек.
Бул маанилерди NEVPNProtocolIKEv2 ичинде ачык коюңуз. Демейки маанилер алмаштырылуучу профилден кененирээк же тарыраак болушу мүмкүн, ал эми айырма кол алышуу ийгиликсиз болгондо гана көрүнөт.
Бала сунуш кийин жана тынчыраак ийгиликсиз болот
Бала коопсуздук бирикмесин да IKE менен катар конфигурациялаңыз. IKE параметрлери гана дал келсе, туннель аутентификациядан өтүп, анан трафикти ташыбайт, бул баш тартуудан алда канча тынч ийгиликсиздик. Баланын шифрлоосун, бүтүндүгүн, тобун жана жашоо убактысын ошол эле кадамда коюңуз. Кардардын убактысын шлюздун маанисинен төмөн же барабар кармаңыз, анткени узунураак талап кылуу башка себептен ошол эле no proposal chosen билдирүүсүн берет. Ал жердеги дал келбестик журналдагы IKE дал келбестиги сыяктуу эле көрүнөт.
Конфигурацияда турганда профилдин сертификаттар менен же жалпы сыр менен аутентификацияланарын текшериңиз. Сунуштун четке кагылышы менен аутентификациянын четке кагылышы өзүнчө саптарда чыгат, ал эми туура эмесин оңдоо бир күнгө турат. Ар бир өзгөртүүдөн кийин жаңы туташуу менен текшериңиз, бир убакта бир өзгөрмө менен, анткени кэштеги абал кайсы параметр жылганын жашырат.
Эски топтомду тек керек болгондо гана калтырыңыз
SHA-1ди 1024 биттик топ менен бекитүү көпүрө, максат эмес. Экөө тең эскирген, жаңы кардарлар алардан таптакыр баш тартышы мүмкүн, башкача айтканда профиль сиз тараптан эч өзгөрүүсүз кийинки түзмөктө ийгиликсиз болот. Бекитүүнү убактылуу деп эсептеңиз жана жазууда ошентүп жазыңыз.
Эгер strongSwan сиздики болсо, заманбап сунуш кошуп, эски жазуу эски түзмөктөр үчүн калганда эки учту жогору карай сүйлөшүүгө жөнөтүңүз. Демондун абал чыгышын окуп, ар бир туташуу кайсы топтомду иш жүзүндө колдонгонун көрүңүз. Заманбап жуп ырасталгандан кийин кардар тараптагы бекитүүнү алып салыңыз. Туннелдин көтөрүлүшү жетиштүү далил эмес, анткени ал сиз токтоткуңуз келген топтомдо да көтөрүлүшү мүмкүн. strongSwan IKEv2 документтери сунуш синтаксисин жана strict белгисин сүрөттөйт.