Kāpēc IKEv2 programmā Android neizdodas nestandarta UDP portā

Vārteja atbild uz IKEv2 UDP 4443 portā kāda iemesla dēļ, profilā ir lauks ar nosaukumu Server, jūs ievadāt resursdatora nosaukumu un portu, un tālrunis ziņo, ka nevar sasniegt serveri vai nevar atrisināt adresi. Nekas netiek bloķēts. Vietējā Android forma gaida resursdatoru, un tas pats attiecas uz Windows. Pielāgots ports ir klienta iespēja, pirms tas kļūst par servera iestatījumu, un tikai daži klienti ļauj to izteikt. Izejiet trīs daļas pēc kārtas: ko klients var pateikt, ko serveris klausās un vai abi gali ietvara paketes vienādi.

Ko tālrunis faktiski nosūtīja

Virkne host:port laukā, kas paredzēts nosaukumam, tiek atrisināta kā nosaukums. Atrisinātājs neko neatgriež vpn.example.net:4443 gadījumā, un redzamā kļūda ir nosaukuma atrisināšanas vai nesasniedzamības kļūda, nevis porta taimauts. Šī atšķirība ir svarīga, jo atkārtots mēģinājums ar īsāku nosaukumu vai citu tīklu nekad nelabos virkni, ko forma nevar parsēt.

Vietējais IKEv2 profils Android sistēmā, tāpat kā iebūvētais Windows VPN klients, ir piesaistīts standarta IKE portiem. Neviens no tiem nerāda porta lauku, un profila rediģēšana to nepievieno. Ja operatora klausītājs patiešām atrodas 4443 portā, iebūvētais klients ir nepareizs rīks, nevis nepareizi konfigurēts.

Izmantojiet klientu, kas parāda portu

strongSwan Android klients dokumentē konfigurējamu servera portu papildu profila iestatījumos, tāpēc tas parādās gandrīz katrā strādājošā receptē šim risinājumam. Šis atbalsts pieder tam klientam: cita IKEv2 lietotne vai tās pašas lietotnes piegādātāja atzars var nerādīt to pašu lauku, lai gan pamatā esošais strongSwan dēmons to atbalsta.

Palūdziet operatoram visu kopumu uzreiz: vārtejas nosaukumu, UDP portu, autentifikācijas metodi un servera identitāti, ko klientam jāgaida. Pielāgots ports nav iemesls izslēgt sertifikātu pārbaudi vai mainīt protokolus. Ievadiet portu tur, kur to gaida instalētais klients, un, ja šim klientam šāda lauka nav, atbilde ir cits apstiprināts klients, nevis minēts apvedceļš.

Serverim ir divi porti, un abiem jāsakrīt

IKE sākas UDP 500, un NAT šķērsošana parasti pārvieto IKE un iekapsulēto ESP uz UDP 4500. strongSwan tie ir atsevišķi iestatījumi, tāpēc uz vienu pielāgotu portu pārvietotam serverim abi jāmaina uz vienu un to pašu vērtību:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Kad viens ports apkalpo abas lomas, dēmonam tajā pašā ligzdā jāatšķir IKE no ESP-in-UDP, ko tas dara ar četru baitu ne-ESP marķieri, kas ir pirms IKE ziņojuma. Tāpēc klients nevar vienoties pielāgotajā portā un pēc tam klusi turpināt 4500 portā, un tāpēc frāze “vienkārši nomainiet portu” slēpj ietvara prasību.

Pāradresācija nav klausītājs

4443 pāradresācija uz parastu IKE klausītāju ir atteices režīms, kas izskatās gandrīz veiksmīgs. Pirmā apmaiņa pienāk, serveris atbild, un tad savienojums apstājas vai atjauno atslēgas tukšumā, jo atbilde iziet no cita porta un vēlākais iekapsulētais trafiks nekad neatbilst stāvoklim, ko abi gali izveidoja. Noteikums, kas pārraksta galamērķa portu, nepārvietojot klausītāju, dod tieši šo pusatvērto rezultātu.

Ceļam jāatļauj arī UDP no gala līdz galam. Tas, ka TCP 443 iziet caur viesnīcas vai operatora tīklu, neko nepasaka par IKEv2 UDP portā, pat ja numurs ir tas pats. Tur, kur atļauts tikai TCP 443, pielāgots UDP ports nepārvērš IKEv2 par HTTPS, un pareizā atbilde var būt cits piekļuves ceļš, nevis vēl viens porta eksperiments.

Testējot atdaliet trīs posmus

Ierakstiet serverī, kamēr klients mēģina vienu reizi. Pieprasījums, kas nekad neienāk, ir galapunkta vai ugunsmūra jautājums; pieprasījums, kas ienāk bez atbildes, ir klausītāja vai politikas jautājums; atbilde, kam seko klusums, ir ietvara vai identitātes jautājums.

tcpdump -ni eth0 -vv udp port 4443

Pēc tam lasiet klienta ziņojumu, nevis tā rotējošo indikatoru. Priekšlikuma kļūda nozīmē, ka algoritmi nesakrīt, autentifikācijas kļūme nozīmē, ka identitātes vai sertifikāti nesakrīt, un atkārtotas pārsūtīšanas bez atbildes nozīmē, ka šajā portā nekas neatbild. Testējiet vienu posmu vienlaikus un starp mēģinājumiem mainiet vienu lauku; strongSwan dokumentācija par NAT šķērsošanu apraksta marķieri un porta uzvedību, ko jums rāda ieraksts.