iOS IKEv2 un strongSwan: priekšlikums nav izvēlēts, izlabojiet sarakstu

iPhone paceļ tuneli, vārteja neatbild ne ar ko, un tālrunis rāda vispārīgu kļūdu. strongSwan žurnāls ir konkrētāks: no proposal chosen. Šis ziņojums nozīmē, ka divi pieņemamo šifrēšanas komplektu saraksti nekad nepārklājās, tāpēc apmaiņa beidzās pirms autentifikācijas sākuma. Tā ir saskaņošanas problēma, un risinājums ir likt sarakstiem krustoties.

Kur vārteja paziņo savu politiku

strongSwan raksta savu politiku konfigurācijā, un izsaukuma zīme beigās nosaka, kā šī politika jālasa. Ar zīmi saraksts ir pilnīgs: tiek pieņemti tikai šie ieraksti un nekas cits. Bez zīmes tā pati rinda ir prioritāšu secība, un dēmons var izvēlēties kaut ko, ko neesi domājis. Pajautā, kura forma ir izvietota, pirms kaut ko tulkot, jo abas uzvedas atšķirīgi pret vienu un to pašu klientu. Pieraksti precīzo rindu, ieskaitot zīmi, un pārbaudi pret to.

Klients, kas piedāvā plašāku sarakstu, joprojām var pieslēgties fiksētai vārtejai, ja vismaz viena kombinācija parādās abās pusēs. Notikt nevar sarunas ārpus fiksētās kopas.

Tāpēc profils, kas nokopēts no citas VPN lietotnes var strādāt tur, kur tavējais nestrādā: otra lietotne sūtīja citu sarakstu.

Nosaukumiem jāsakrīt, nevis jāuzlabojas

Divi tulkojumi maldina tos, kas pārnes vērtības no strongSwan uz iOS. IKE priekšlikumā kā SHA1 rakstītais integritātes algoritms ceļo saīsinātā formā, ko iOS sauc .SHA96. Kā modp1024 rakstītā Diffie-Hellman grupa ir grupa 2, ko iOS sauc .group2. SHA-256 vai 14 grupas aizstāšana nerunās ar vārteju, kas pieņem tikai vecāko pāri. Klientam jāapraksta tas pats algoritms, nevis stiprāks.

Iestati šīs vērtības skaidri NEVPNProtocolIKEv2. Noklusējuma vērtības var būt plašākas vai šaurākas par aizstājamo profilu, un atšķirība parādās tikai tad, kad roku sits neizdodas.

Bērna priekšlikums neizdodas vēlāk un klusāk

Konfigurē arī bērna drošības asociāciju, ne tikai IKE. Kad sakrīt tikai IKE parametri, tunelis autentificējas un pēc tam nenes satiksmi, kas ir daudz klusāka kļūme nekā atteikums. Iestati bērna šifrēšanu, integritāti, grupu un darbības laiku tajā pašā solī. Turi klienta darbības laiku vienādu ar vārtejas vērtību vai mazāku, jo uzstāšana uz garāku dod to pašu no proposal chosen ziņojumu cita iemesla dēļ. Tur esošā neatbilstība izskatās tieši tāpat kā IKE neatbilstība žurnālā.

Pārbaudi, vai profils autentificējas ar sertifikātiem vai kopīgu noslēpumu, kamēr esi konfigurācijā. Priekšlikuma noraidījums un autentifikācijas noraidījums parādās dažādās rindās, un nepareizā labošana maksā dienu. Pārbaudi ar jaunu savienojumu pēc katras izmaiņas, pa vienam mainīgajam, jo kešotais stāvoklis slēpj, kurš parametrs pārvietojās.

Atstāj veco komplektu tikai tik ilgi, cik tas nepieciešams

SHA-1 fiksēšana ar 1024 bitu grupu ir tilts, nevis galamērķis. Abi ir novecojuši, un jaunāki klienti var tos vienkārši noraidīt, kas nozīmē, ka profils neizdosies nākamajā ierīcē bez jebkādām izmaiņām tavā pusē. Uztver fiksējumu kā pagaidu un tā arī ieraksti protokolā.

Ja strongSwan ir tavējais, pievieno modernu priekšlikumu un ļauj abiem galiem sarunāties uz augšu, kamēr vecais ieraksts paliek vecākām ierīcēm. Izlasi dēmona statusa izvadi, lai redzētu, kuru komplektu katrs savienojums patiešām izmantoja. Pēc tam noņem fiksējumu klienta pusē, kad modernais pāris ir apstiprināts. Pacelts tunelis nav pietiekams pierādījums, jo tas var pacelties uz komplekta, kuru tu centies izbeigt. strongSwan IKEv2 dokumentācija apraksta priekšlikumu sintaksi un strict marķieri.