iOS noraidīja jūsu strongSwan tuneli: salīdziniet IKE priekšlikumus

Nekas sertifikātā vai adresē neizskaidro, kāpēc iPhone, kas pērn savienojās ar strongSwan, šogad neizdodas. Adresē, iepriekš koplietotajā atslēgā vai klienta identitātē nekam nebija jāmainās. Mainījies ir transformāciju saraksts, par kuru tālruņa iebūvētais klients ir gatavs risināt sarunas, un, tiklīdz šis saraksts pārstāj pārklāties ar servera sarakstu, apmaiņa beidzas, pirms tiek pārbaudīta kāda identitāte.

Žurnāla rinda, kas to izšķir

Palieliniet žurnāla līmeni šim savienojumam un atrodiet divus ierakstus, kas izšķir iznākumu: ko piedāvāja tālrunis un ko izvēlējās serveris. Ja žurnāls beidzas bez izvēlēta priekšlikuma un ziņo, ka nekas nesaskanēja, autentifikācija nemaz netika mēģināta. Jauns sertifikāts un jauna parole tajā brīdī neko nemaina, jo abi tiek izmantoti vēlākā posmā. Neviens no tiem nevar ietekmēt iznākumu, kas tika izlemts pirms identitātes pārbaudes.

Šķiriet abas kļūmes formas, pirms kaut ko labojat. Nekāda transformāciju labošana neglābj noraidītus akreditācijas datus, un nekāda datu labošana neglābj noraidītu transformāciju. Žurnāla ieraksts, kas nosauc izvēlēto priekšlikumu, pasaka, kurā no abiem gadījumiem jūs esat. Bez šī ieraksta jūs minējat.

Izvēlētā rinda nosauc priekšlikumu pēc tā transformāciju kopas, nevis draudzīgas etiķetes. Salīdziniet šifrēšanas, integritātes un grupas laukus šajā rindā ar sarakstu, ko nosūtīja tālrunis, jo neatbilstība jebkurā vienā laukā ir pietiekama, lai zaudētu.

Kas mainījās tālrunī

Viens iOS izlaidums aprauga algoritmus, ko tā klients ir gatavs izmantot. Vāji integritātes jaucēji, mazas Diffie-Hellman grupas un priekšlikumi, kuros vecās opcijas uzskaitītas pirmās, vairs nebija pieņemami.

Garakie saraksti šeit nav drošāki. Izvēle seko tālruņa pieņemtajai kopai un tās pašas prioritāšu secībai, tāpēc serveris, kas reklamē plašu katalogu, joprojām var zaudēt sarunas, kad modernie ieraksti nav tie, kas tiek izvēlēti. Dodiet priekšroku īsam sarakstam ar modernajiem ierakstiem priekšā. Garš saraksts, kas sākas ar vecajām opcijām, uzaicina tieši to kļūmi, no kuras cenšaties izvairīties. Pieņemtā kopa ir ārējs ierobežojums, kas pārvietojas ar katru klienta atjauninājumu, tāpēc konfigurācija, kas strādāja vakar, ir pierādījums par vakar.

Viens pāris, kas vēl vienojas

Pašreizējiem tālruņiem pietiek ar vienu modernu kombināciju. Viens vienojošs pāris izskatās šādi:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike rinda nes šifrēšanu, integritāti un Diffie-Hellman grupu, kas tiek izmantotas atslēgu apmaiņas laikā. esp rinda aptver tikai datu kanālu, jo grupa tika noteikta pirms tā sāk darboties. Pārlādējiet savienojumu vai restartējiet dēmonu, pēc tam atkal pievienojiet tālruni. Saglabājiet šo grupas vērtību tikai tad, ja katrs klients, kam pakalpojat, to vēl pieņem, un nepaplašiniet priekšlikumu visiem tāpēc, ka vienam vecam partnerim vajag vairāk.

Trīs vietas, kur to salabot, viena parasti ir slēgta

• Viens moderns priekšlikums katram partnerim. Pareizi, ja visi klienti ir pašreizējie tālruņi un datori. Tas dzēš vecās transformācijas, nevis risina sarunas ap tām.
• Otra savienojuma definīcija Apple klientiem. Notur vienu vecu partneri dzīvu un dod tālrunim priekšlikumu, ko tas pieņem. Tas izmaksā vēl vienu savienojuma bloku un padara izņēmumu redzamu.
• Klienta maiņa. Reti jums pieejama: kad pārvaldības sistēma vai lietotne piegādā profilu, nav priekšlikumu redaktora, kam pieskarties, un iebūvētais klients tādu neparāda.

Izvēlieties otro variantu, kad ierīci ārpus jūsu kontroles nevar atjaunināt. Izvēlieties pirmo, kad varat veco partneri izbeigt un labprātāk nesat vienu politiku.

Jebkurā gadījumā izvēle ir redzama konfigurācijā, un tā ir būtība. Klusa atkāpšanās, kas vienojas lejup līdz vecai transformācijai, ir sliktāka par skaidru bloku, jo neviena pārskatīšana to nekad neizcels.

Pierādiet, tad pierakstiet

Pievienojieties vēlreiz un serverī pārbaudiet trīs atsevišķus faktus: priekšlikums tika izvēlēts, savienojums rādās kā izveidots un klients saņēma adresi. Izveidota roku spiediens bez attālinātas adreses norāda uz adrešu baseinu vai trafika selektoriem, un tas pieder atsevišķai izmaiņai. Abus aplūkojot kopā, atrisinātas sarunas izskatās neatrisinātas.

Pierakstiet pieņemto transformāciju kopu, kad to mainījāt un kuru klienta versiju pārbaudījāt. Nākamais atjauninājums var atkal pavirzīt prasību, un vērtības, kas strādāja, ir pirmais, ko vēlēsities turēt blakus jaunajām.