Kodėl „Android“ nepavyksta IKEv2 nestandartiniame UDP prievade

Tinklo vartai atsako į IKEv2 per UDP 4443 dėl tam tikros priežasties, profilyje yra laukas pavadinimu Server, jūs įvedate pagrindinio kompiuterio vardą ir prievadą, o telefonas praneša, kad negali pasiekti serverio arba negali išspręsti adreso. Niekas nėra blokuojama. Natūrali „Android“ forma tikisi pagrindinio kompiuterio, ir tas pats galioja „Windows“. Pasirinktinis prievadas yra kliento galimybė prieš tai, kai jis tampa serverio nustatymu, ir tik kai kurie klientai leidžia jį išreikšti. Peržiūrėkite tris dalis iš eilės: ką klientas gali pasakyti, ko klausosi serveris ir ar abu galai kadruoja paketus vienodai.

Ką telefonas iš tikrųjų išsiuntė

Eilutė host:port lauke, skirtame vardui, sprendžiama kaip vardas. Sprendėjas nieko negrąžina vpn.example.net:4443 atveju, o matoma klaida yra vardo sprendimo arba nepasiekiamumo klaida, o ne prievado laiko limitas. Šis skirtumas svarbus, nes bandymas iš naujo su trumpesniu vardu ar kitu tinklu niekada nepataisys eilutės, kurios forma negali išanalizuoti.

Natūralus IKEv2 profilis „Android“ sistemoje, kaip ir įtaisytasis „Windows VPN“ klientas, yra pririštas prie standartinių IKE prievadų. Nė vienas jų nerodo prievado lauko, o profilio redagavimas jo neprideda. Jei operatoriaus klausytojas tikrai yra 4443 prievade, įtaisytasis klientas yra netinkamas įrankis, o ne neteisingai sukonfigūruotas.

Naudokite klientą, kuris rodo prievadą

„strongSwan“ klientas „Android“ sistemai dokumentuoja konfigūruojamą serverio prievadą išplėstiniuose profilio nustatymuose, todėl jis pasirodo beveik visuose veikiančiuose receptuose šiam sprendimui. Ta parama priklauso tam klientui: kita IKEv2 programėlė ar tos pačios programėlės tiekėjo atšaka gali nerodyti to paties lauko, nors pagrindinis „strongSwan“ demonas jį palaiko.

Paprašykite operatoriaus viso rinkinio iš karto: tinklo vartų vardo, UDP prievado, autentifikavimo metodo ir serverio tapatybės, kurios klientas turi tikėtis. Pasirinktinis prievadas nėra priežastis išjungti sertifikatų tikrinimą ar keisti protokolus. Įveskite prievadą ten, kur jo tikisi įdiegtas klientas, o jei tas klientas neturi tokio lauko, atsakymas yra kitas patvirtintas klientas, o ne spėjamas apėjimas.

Serveris turi du prievadus, ir abu turi sutapti

IKE prasideda UDP 500, o NAT perėjimas paprastai perkelia IKE ir inkapsuliuotą ESP į UDP 4500. „strongSwan“ tai atskiri nustatymai, todėl perkeltas į vieną pasirinktinį prievadą serveris turi pakeisti abu į tą pačią reikšmę:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Kai vienas prievadas tarnauja abiem vaidmenims, demonas turi atskirti IKE nuo ESP-in-UDP tame pačiame lizde, ką daro keturių baitų ne ESP žymekliu, einančiu prieš IKE pranešimą. Todėl klientas negali derėtis pasirinktiniame prievade ir tada tyliai tęsti 4500 prievade, ir todėl frazė „tiesiog pakeiskite prievadą“ slepia kadravimo reikalavimą.

Persiuntimas nėra klausytojas

4443 persiuntimas į įprastą IKE klausytoją yra gedimo režimas, kuris atrodo beveik sėkmingas. Pirmasis mainas ateina, serveris atsako, o tada ryšys sustoja arba iš naujo generuoja raktus į nieką, nes atsakymas išeina iš kito prievado, o vėlesnis inkapsuliuotas srautas niekada neatitinka būsenos, kurią sukūrė abu galai. Taisyklė, kuri perrašo paskirties prievadą neperkeliant klausytojo, duoda būtent šį pusiau atvirą rezultatą.

Maršrutas taip pat turi leisti UDP nuo galo iki galo. Tai, kad TCP 443 praeina per viešbučio ar operatoriaus tinklą, nieko nesako apie IKEv2 UDP prievade, net jei numeris tas pats. Ten, kur leidžiamas tik TCP 443, pasirinktinis UDP prievadas nepaverčia IKEv2 HTTPS, o teisingas atsakymas gali būti kitas prieigos kelias, o ne dar vienas prievado eksperimentas.

Testuodami atskirkite tris etapus

Fiksuokite serveryje, kol klientas bando vieną kartą. Užklausa, kuri niekada neatvyksta, yra galinio taško ar ugniasienės klausimas; užklausa, kuri atvyksta be atsakymo, yra klausytojo ar politikos klausimas; atsakymas, po kurio seka tyla, yra kadravimo ar tapatybės klausimas.

tcpdump -ni eth0 -vv udp port 4443

Tada skaitykite kliento pranešimą, o ne jo sukantį indikatorių. Pasiūlymo klaida reiškia, kad algoritmai nesutampa, autentifikavimo klaida reiškia, kad tapatybės ar sertifikatai nesutampa, o pasikartojantys pakartotiniai siuntimai be atsakymo reiškia, kad tame prievade niekas neatsako. Testuokite po vieną etapą ir tarp bandymų keiskite vieną lauką; „strongSwan“ dokumentacija apie NAT perėjimą aprašo žymeklį ir prievado elgseną, kurią jums rodo įrašas.