iOS IKEv2 a strongSwan: keng Propositioun gewielt – esou flécks du d'Lëscht

Den iPhone hëlt den Tunnel erop, de Gateway äntwert mat näischt, an den Telefon weist eng allgemeng Feeler. De Log vu strongSwan ass méi spezifesch: no proposal chosen. Dëse Message heescht, datt déi zwou Lëschte vun akzeptabelen Chiffersuiten sech ni iwwerschneide hunn, also war den Austausch eriwwer, ier d'Authentifikatioun ugefaangen huet. Et ass e Problem vum Zesummepassen, an de Fix ass, d'Lëschten ze schneiden.

Wou de Gateway seng Politik erkläert

strongSwan schreift seng Politik an der Konfiguratioun, an dat Ausruffzeechen um Enn entscheet, wéi déi Politik gelies gëtt. Mat dem Zeechen ass d'Lëscht vollstänneg: just déi Entréen a soss näischt ginn akzeptéiert. Ouni d'Zeechen ass déi selwecht Linn eng Präferenzuerdnung, an den Daemon kann eppes wielen, wat s du net geduecht hues. Fro, wéi eng Form deployéiert ass, ier s du iergendeppes iwwersetz, well déi zwou sech anescht behuelen vis-à-vis vum selwechte Client. Schreiwen d'exakt Linn op, d'Zeechen abegraff, a test géint déi.

E Client mat enger méi breeder Lëscht kann nach ëmmer mat engem festgehalene Gateway verbannen, soulaang eng Kombinatioun op béide Säiten erschéngt. Wat net ka geschéien, ass eng Verhandlung ausserhalb vum festgehalenen Ensembel.

Dofir kann e Profil, deen aus enger anerer VPN-App kopéiert gouf funktionéieren, wou däin et net mécht: déi aner App huet eng aner Lëscht verschéckt.

D'Nimm mussen iwwerenee stëmmen, net besser ginn

Zwou Iwwersetzunge fänken d'Leit, déi Wäerter vu strongSwan an iOS huelen. Den Integritéitsalgorithmus, deen an enger IKE-Propositioun SHA1 geschriwwen ass, reest a senger verkierzelter Form, déi iOS .SHA96 nennt. D'Diffie-Hellman-Grupp, déi modp1024 geschriwwen ass, ass Grupp 2, déi iOS .group2 nennt. SHA-256 oder Grupp 14 z'ersetzen verhandelt net mat engem Gateway, deen nëmmen dat eelert Puer akzeptéiert. De Client muss dee selwechten Algorithmus beschreiwen, net e stärkeren.

Stell déi Wäerter ausdrécklech an NEVPNProtocolIKEv2 an. D'Standardwäerter kënne méi breet oder méi schmuel sinn wéi de Profil, deen s du ersetzt, an den Ënnerscheed weist sech nëmmen, wann den Handshake feelt.

D'Kandpropositioun feelt méi spéit a méi roueg

Konfiguréier och d'Kandsécherheetsassociatioun, net just déi vu IKE. Wann nëmmen d'IKE-Parameteren iwwerenee stëmmen, authentifizéiert den Tunnel sech an drot duerno keen Traffic, wat eng vill méi roueg Feeler ass wéi eng Refus. Stell d'Verschlësselung, Integritéit, Grupp a Liewensdauer vum Kand am selwechten Passage an. Hal d'Liewensdauer vum Client op oder ënner dem Wäert vum Gateway, well op eng méi laang ze behaaren deeselwechte no proposal chosen Message aus enger anerer Ursaach produzéiert. Eng Diskrepanz do gesäit genee sou aus wéi eng IKE-Diskrepanz am Log.

Kuck, ob de Profil sech mat Zertifikater oder engem gedeelte Geheimnis authentifizéiert, wärend s du an der Konfiguratioun bass. Eng Propositiounsrefus an eng Authentifikatiounsrefus erschéngen op verschiddene Linnen, an déi falsch ze fixe kascht engem en Dag. Test mat enger frëscher Verbindung no all Ännerung, eng Variabel op eemol, well de gecachte Staat verstoppt, wéi ee Parameter sech geréckelt huet.

Lass d'Legacy-Suite just esou laang, wéi s se brauchs

SHA-1 mat enger 1024-Bit-Grupp festzehalen ass eng Bréck, keen Zil. Béid sinn ofgeroden, an nei Clientë kënnen se direkt refuséieren, wat heescht, datt de Profil um nächsten Apparat feelt, ouni datt s du eppes änderst. Behandel de Pin als temporär a sot et am Protokoll.

Wann strongSwan däin ass, setz eng modern Propositioun derbäi a lass béid Enner no uewe verhandelen, wärend den ale Wäert fir eeler Apparater bleift. Liest d'Statusausgab vum Daemon, fir ze gesinn, wéi eng Suite all Verbindung tatsächlech benotzt huet. Duerno huel de Pin um Client-Säit erof, soubal dat modernt Puer confirméiert ass. En Tunnel, deen eropkënnt, ass net genuch Beweis, well en op der Suite eropkënne kann, déi s du wollts pensionéieren. D'strongSwan-IKEv2-Dokumentatioun beschreift d'Propositiounssyntax an de strict-Marker.