iOS atmetė jūsų strongSwan tunelį: palyginkite IKE pasiūlymus

Niekas sertifikate ar adrese nepaaiškina, kodėl pernai prie strongSwan jungęsis iPhone šiemet nepavyksta. Adresas, iš anksto bendrinamas raktas ar kliento tapatybė neturėjo keistis. Pasikeitė transformacijų, dėl kurių telefono integruotas klientas pasirengęs derėtis, sąrašas, ir kai tik šis sąrašas nustoja sutapti su serverio sąrašu, mainai baigiasi prieš patikrinant bet kieno tapatybę.

Žurnalo eilutė, kuri tai nusprendžia

Padidinkite to ryšio žurnalo lygį ir raskite du įrašus, kurie nusprendžia rezultatą: ką pasiūlė telefonas ir ką pasirinko serveris. Jei žurnalas baigiasi be pasirinkto pasiūlymo ir praneša, kad niekas nesutapo, autentifikacija net nebandyta. Naujas sertifikatas ir naujas slaptažodis tuo metu nieko nekeičia, nes abu sunaudojami vėlesniame etape. Nė vienas iš jų negali paveikti rezultato, nuspręsto prieš patikrinant tapatybę.

Atskirkite dvi gedimo formas prieš ką nors redaguodami. Joks transformacijų pakeitimas neišgelbės atmestų prisijungimo duomenų, o joks duomenų pataisymas neišgelbės atmestos transformacijos. Žurnalo įrašas, kuriame nurodytas pasirinktas pasiūlymas, pasako, kuriuo iš dviejų atvejų esate. Be to įrašo jūs spėjate.

Pasirinkta eilutė įvardija pasiūlymą pagal jo transformacijų rinkinį, o ne pagal draugišką žymą. Palyginkite šifravimo, vientisumo ir grupės laukus toje eilutėje su sąrašu, kurį atsiuntė telefonas, nes neatitikimas bet kuriame viename lauke pakanka pralaimėti.

Kas pasikeitė telefone

Vienas iOS leidimas apkirpo algoritmus, kuriuos jo klientas pasirengęs naudoti. Silpnos vientisumo maišos, mažos Diffie-Hellman grupės ir pasiūlymai, kuriuose senos parinktys išvardytos pirmos, nebebuvo priimtini.

Ilgesni sąrašai čia nėra saugesni. Pasirinkimas vadovaujasi telefono priimtu rinkiniu ir jo paties prioritetų tvarka, todėl serveris, skelbiantis platų katalogą, vis tiek gali pralaimėti derybas, kai modernūs įrašai nėra tie, kurie pasirenkami. Pirmenybę teikite trumpam sąrašui su moderniais įrašais priekyje. Ilgas sąrašas, prasidedantis senomis parinktimis, kviečia būtent tą gedimą, kurio bandote išvengti. Priimtas rinkinys yra išorinis apribojimas, kuris pasislenka kiekvieną kartą atnaujinant klientą, tad vakar veikusi konfigūracija yra įrodymas apie vakar.

Viena pora, kuri dar derasi

Dabartiniams telefonams pakanka vienos modernios kombinacijos. Viena besideranti pora atrodo taip:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike eilutė neša šifravimą, vientisumą ir Diffie-Hellman grupę, naudojamus vykstant raktų mainams. esp eilutė apima tik duomenų kanalą, nes grupė nustatyta anksčiau, nei ji pradeda galioti. Iš naujo įkelkite ryšį arba paleiskite tarnybą iš naujo, tada vėl prijunkite telefoną. Išsaugokite tą grupės reikšmę tik jei kiekvienas klientas, kuriam tarnaujate, ją dar priima, ir neplėskite pasiūlymo visiems vien dėl to, kad vienam senam partneriui reikia daugiau.

Trys vietos tai sutvarkyti, viena paprastai uždaryta

• Vienas modernus pasiūlymas kiekvienam partneriui. Teisinga, kai visi klientai yra dabartiniai telefonai ir staliniai kompiuteriai. Ištrina senas transformacijas, o ne derasi aplink jas.
• Antra ryšio apibrėžtis Apple klientams. Išlaiko vieną seną partnerį gyvą ir duoda telefonui pasiūlymą, kurį jis priima. Tai kainuoja dar vieną ryšio bloką ir padaro išimtį matomą.
• Kliento keitimas. Retai jums atvira: kai valdymo sistema ar programėlė pateikia profilį, nėra jokio pasiūlymų redaktoriaus, kurį būtų galima liesti, o integruotas klientas jo nerodo.

Rinkitės antrą variantą, kai įrenginio, esančio už jūsų kontrolės ribų, atnaujinti negalima. Rinkitės pirmą, kai galite išleisti seną partnerį į pensiją ir norite laikytis vienos politikos.

Bet kuriuo atveju pasirinkimas matomas konfigūracijoje, ir tai yra esmė. Tylus atsitraukimas, derantis žemyn iki senos transformacijos, yra blogiau nei aiškus blokas, nes jokia peržiūra jo niekada neiškels į paviršių.

Įrodykite, tada užrašykite

Prisijunkite iš naujo ir serveryje patikrinkite tris atskirus faktus: pasiūlymas buvo pasirinktas, ryšys rodomas kaip užmegztas ir klientas gavo adresą. Užmegztas rankos paspaudimas be nuotolinio adreso rodo į adresų baseiną ar srauto selektorius, ir tai priklauso atskiram pakeitimui. Abu dalykus traktuojant kartu, išspręstos derybos atrodo neišspręstos.

Užrašykite priimtą transformacijų rinkinį, kada jį pakeitėte ir kurią kliento versiją patikrinote. Kitas atnaujinimas vėl gali pastumti reikalavimą, o veikusios reikšmės yra pirmas dalykas, kurį norėsite turėti šalia naujųjų.