iOS го одби вашиот strongSwan тунел: споредете ги IKE предлозите

Ништо во сертификатот или адресата не објаснува зошто iPhone што лани се поврзуваше со strongSwan годинава не успева. Ништо во адресата, однапред споделениот клуч или идентитетот на клиентот не морало да се смени. Она што се помести е списокот трансформации за кои вградениот клиент на телефонот е подготвен да преговара, и штом тој список престане да се преклопува со списокот на серверот, размената завршува пред да се провери нечиј идентитет.

Редот во дневникот што одлучува

Зголемете го логирањето за таа врска и пронајдете ги двата записи што го одлучуваат исходот: што понудил телефонот и што избрал серверот. Ако дневникот заврши без избран предлог и пријави дека ништо не се совпаднало, автентикацијата воопшто не била обидувана. Нов сертификат и нова лозинка ништо не менуваат во таа точка, бидејќи и двете се трошат во подоцнежна фаза. Ниту едно од нив не може да влијае на резултат што бил одлучен пред проверката на идентитетот.

Раздвојте ги двата облика на неуспех пред да уредувате било што. Ниту една измена на трансформациите не ги спасува одбиените акредитиви, а ниту едно поправање на акредитивите не спасува одбиена трансформација. Записот во дневникот што го именува избраниот предлог ви кажува во кој од двата случаи сте. Без тој запис, вие претпоставувате.

Избраниот ред го именува предлогот по неговото множество трансформации, а не по пријателска ознака. Споредете ги полињата за шифрирање, интегритет и група во тој ред со списокот што го испратил телефонот, бидејќи несовпаѓање во кое било едно поле е доволно за загуба.

Што се смени на телефонот

Едно издание на iOS ги скрати алгоритмите што неговиот клиент е подготвен да ги користи. Слабите хешови за интегритет, малите Diffie-Hellman групи и предлозите што старите опции ги наведуваат први престанаа да бидат прифатливи.

Подолгите списоци овде не се побезбедни. Изборот го следи прифатеното множество на телефонот и неговиот сопствен редослед на предност, така што сервер што рекламира широк каталог сепак може да ја загуби преговорот кога современите записи не се тие што се избираат. Дајте предност на краток список со современите записи напред. Долгиот список што започнува со стари опции го повикува токму неуспехот што се обидувате да го избегнете. Прифатеното множество е надворешно ограничување што се поместува при секое ажурирање на клиентот, затоа конфигурацијата што работеше вчера е доказ за вчера.

Еден пар што и понатаму преговара

За сегашните телефони доволна е една современа комбинација. Еден пар што преговара изгледа вака:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Редот ike ги носи шифрирањето, интегритетот и Diffie-Hellman групата што се користат додека трае размената на клучеви. Редот esp го покрива само каналот за податоци, бидејќи групата е одредена пред тој да важи. Вчитајте ја врската повторно или рестартирајте го демонот, потоа поврзете го телефонот повторно. Задржете ја таа вредност на групата само ако секој клиент што го опслужувате и понатаму ја прифаќа, и не го проширувајте предлогот за сите само затоа што на еден стар партнер му треба повеќе.

Три места за поправка, едно обично е затворено

• Еден современ предлог за секој партнер. Правилно кога сите клиенти се сегашни телефони и десктопи. Ги брише старите трансформации наместо да преговара околу нив.
• Втора дефиниција на врска за Apple клиенти. Држи еден стар партнер жив и му дава на телефонот предлог што го прифаќа. Тоа чини уште еден блок за врска и ја прави исклучокот видлива.
• Менување на клиентот. Ретко ви е отворено: кога управувачки систем или апликација го доставува профилот, нема уредувач на предлози што би го допреле, а вградениот клиент не покажува таков.

Изберете ја втората опција кога уред надвор од ваша контрола не може да се ажурира. Изберете ја првата кога можете да го пензионирате стариот партнер и повеќе сакате да носите една политика.

Како и да е, изборот е видлив во конфигурацијата, и тоа е поентата. Тихото враќање што преговара надолу до стара трансформација е полошо од експлицитен блок, бидејќи ниту еден преглед никогаш нема да го изнесе на виделина.

Докажете го, потоа запишете го

Поврзете се повторно и проверете три одделни факти на серверот: предлогот е избран, врската се прикажува како воспоставена и клиентот доби адреса. Воспоставено ракување без оддалечена адреса упатува на базенот или на селекторите на сообраќај, и тоа припаѓа во посебна измена. Третирањето на двете заедно прави решен преговор да изгледа нерешен.

Запишете го множеството трансформации што било прифатено, кога сте го смениле и кое издание на клиентот сте го провериле. Следното ажурирање може повторно да го помести барањето, а вредностите што работеа се првото нешто што ќе го сакате покрај новите.