Android'де IKEv2 стандартты эмес UDP портунда эмнеге иштебейт

IKEv2нин жергиликтүү формасы портту эмес, даректи кабыл алат. Кардар аны колдой турганын текшериңиз, сервердин эки портун тең коюңуз, анан кадрлоону жана журналдарды караңыз.

Шлюз IKEv2ге UDP 4443 портунда бир себептен улам жооп берет, профилде Server деп аталган талаа бар, сиз хост атын жана портту киргизесиз, ал эми телефон серверге жете албай турганын же даректи чече албай турганын билдирет. Эч нерсе бөгөттөлбөйт. Android'дин жергиликтүү формасы хостту күтөт, бул Windows'то да туура. Ыңгайлаштырылган порт сервер жөндөөсү боло электе кардардын мүмкүнчүлүгү болуп саналат жана аны бир гана кардарлар билдирүүгө жол беришет. Үч бөлүктү ирети менен карап чыгыңыз: кардар эмнени айта алат, сервер эмнени угат, жана эки тарап пакеттерди бирдей кадрлайбы.

Телефон чындыгында эмне жиберди

Ат үчүн жасалган талаадагы host:port сабы ат катары чечилет. Чечүүчү vpn.example.net:4443 үчүн эч нерсе кайтарбайт, ал эми сиз көргөн ката порттогу убакыттын бүтүшү эмес, атты чечүү же жеткиликсиздик катасы. Бул айырма маанилүү, анткени кыскараак ат же башка тармак менен кайталоо форма талдай албаган сапты эч качан оңдобойт.

Android'деги жергиликтүү IKEv2 профили, Windows'тун курулма VPN кардары сыяктуу эле, стандарттуу IKE портторуна бекитилген. Алардын эч бири порт талаасын көрсөтпөйт, профилди түзөтүү аны кошпойт. Эгер оператордун угуучусу чын эле 4443тө болсо, курулма кардар туура эмес конфигурацияланган эмес, туура эмес курал.

Портту көрсөткөн кардарды колдонуңуз

strongSwan'дын Android кардары кеңейтилген профиль жөндөөлөрүндө ыңгайлаштырылуучу сервер портун документтештирет, ошондуктан ал бул долбоор үчүн иштеген дээрлик ар бир рецептте кездешет. Бул колдоо ошол кардарга таандык: башка IKEv2 колдонмосу же ошол эле колдонмонун жеткирүүчү бутагы негизги strongSwan демону колдосо да, ошол эле талааны көрсөтпөшү мүмкүн.

Оператордон бүт топтомду бирден сураңыз: шлюз аты, UDP порту, аутентификация ыкмасы жана кардар күтүшү керек болгон сервер идентификациясы. Ыңгайлаштырылган порт сертификат текшерүүсүн өчүрүүгө же протоколдорду алмаштырууга себеп эмес. Портту орнотулган кардар күткөн жерге киргизиңиз, ал эми ошол кардарда мындай талаа жок болсо, жооп болжолдонгон айлампа эмес, башка уруксат берилген кардар.

Серверде эки порт бар жана экөө тең дал келиши керек

IKE UDP 500дөн башталат, ал эми NAT өтүүсү адатта IKE жана инкапсуляцияланган ESPни UDP 4500гө жылдырат. Булар strongSwan'да өзүнчө жөндөөлөр, ошондуктан бир ыңгайлаштырылган портко которулган сервер экөөнү тең бирдей мааниге өзгөртүшү керек:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Бир порт эки ролду тең аткарганда, демон ошол эле сокетте IKEди ESP-in-UDPден ажыратышы керек, муну IKE билдирүүсүнүн алдында келген төрт байттык ESP эмес маркер менен жасайт. Ошондуктан кардар ыңгайлаштырылган портто сүйлөшүп, анан 4500дө үнсүз уланта албайт, ошондуктан «портту гана алмаштыр» деген сүйлөм кадрлоо талабын жашырат.

Багыттоо угуучу эмес

4443тү кадимки IKE угуучусуна багыттоо — ийгиликтүү болуп көрүнгөн ийгиликсиздик режими. Биринчи алмашуу келет, сервер жооп берет, анан байланыш токтойт же ачкычтарды эч нерсеге жаңыртат, анткени жооп башка порттон чыгат жана кийинки инкапсуляцияланган трафик эки тарап түзгөн абалга эч качан дал келбейт. Угуучуну жылдырбастан даректүү портту кайра жазган эреже так ушул жарым ачык жыйынтыкты берет.

Маршрут UDPге да учунан учуна жол бериши керек. TCP 443түн мейманкана же оператор тармагы аркылуу өтүшү UDP портундагы IKEv2 жөнүндө эч нерсе айтпайт, номери бирдей болсо да. Бир гана TCP 443 уруксат берилген жерде ыңгайлаштырылган UDP порту IKEv2ни HTTPSке айландырбайт, ал эми туура жооп дагы бир порт эксперименти эмес, башка кирүү жолу болушу мүмкүн.

Сыноо учурунда үч баскычты бөлүңүз

Кардар бир жолу аракет кылганда серверде жазып алыңыз. Эч качан келбеген сурам — акыркы чекит же брандмауэр маселеси; жоопсуз келген сурам — угуучу же саясат маселеси; үнсүздүк менен уланган жооп — кадрлоо же идентификация маселеси.

tcpdump -ni eth0 -vv udp port 4443

Анан кардардын айланма индикаторун эмес, анын билдирүүсүн окуңуз. Сунуш катасы алгоритмдер дал келбей турганын билдирет, аутентификация ийгиликсиздиги идентификациялар же сертификаттар дал келбей турганын билдирет, ал эми жоопсуз кайталап жиберүүлөр ошол портто эч нерсе жооп бербей турганын билдирет. Бир баскычтан сынаңыз жана аракеттердин ортосунда бир талааны өзгөртүңүз; NAT өтүүсү жөнүндө strongSwan документтери жазуу сизге көрсөтүп жаткан маркерди жана порт жүрүм-турумун сүрөттөйт.

Тектеш макалалар