Од iOS IKEv2 до strongSwan: не е избрана понуда, поправете ја листата

iPhone го подига тунелот, порталот не одговара со ништо, а телефонот покажува општа грешка. Дневникот на strongSwan е поконкретен: no proposal chosen. Оваа порака значи дека двете листи на прифатливи шифрарски комплети никогаш не се преклопуваа, па размената завршила пред да започне автентикацијата. Тоа е проблем на совпаѓање, а решението е листите да се пресечат.

Каде порталот ја објавува својата политика

strongSwan ја пишува својата политика во конфигурацијата, а извичникот на крајот одлучува како таа политика се чита. Со знакот листата е исцрпна: се прифаќаат само тие записи и ништо друго. Без знакот истата линија е редослед на предност, и демонот може да избере нешто што не си го сакал. Прашај која форма е поставена пред да преведеш било што, зашто двете се однесуваат различно кон истиот клиент. Запиши ја точната линија, вклучително знакот, и тестирај против неа.

Клиент што нуди поширока листа сепак може да се поврзе со фиксирана порта, ако барем една комбинација се појавува на двете страни. Она што не може да се случи е преговарање надвор од фиксираното множество.

Затоа профил копиран од друга VPN апликација може да работи таму каде твојот не работи: другата апликација испраќала друга листа.

Имињата треба да се совпаѓаат, а не да се подобрат

Два превода ги мамат оние што пренесуваат вредности од strongSwan во iOS. Алгоритмот за интегритет напишан SHA1 во IKE понуда патува во својата скратена форма, која iOS го нарекува .SHA96. Diffie-Hellman групата напишана modp1024 е група 2, која iOS ја нарекува .group2. Замената со SHA-256 или група 14 нема да преговара со порта што прифаќа само постариот пар. Клиентот мора да го опише истиот алгоритам, а не посилен.

Поставете ги тие вредности експлицитно во NEVPNProtocolIKEv2. Стандардните вредности може да бидат пошироки или потесни од профилот што го заменувате, а разликата се покажува само кога ракувањето не успее.

Детската понуда не успева подоцна и потивко

Конфигурирајте ја и детската безбедносна асоцијација, не само IKE. Кога се совпаѓаат само IKE параметрите, тунелот се автентицира и потоа не пренесува сообраќај, што е многу потивок неуспех од одбивање. Поставете ги шифрирањето, интегритетот, групата и времетраењето на детето во истиот чекор. Држете го времетраењето на клиентот еднакво на вредноста на портата или помало, зашто инсистирањето на подолго ја дава истата порака no proposal chosen од друга причина. Несовпаѓањето таму изгледа исто како IKE несовпаѓање во дневникот.

Проверете дали профилот се автентицира со сертификати или со заедничка тајна додека сте во конфигурацијата. Одбивањето на понуда и одбивањето на автентикација се појавуваат на различни линии, а поправката на погрешната чини еден ден. Тестирајте со ново поврзување по секоја промена, по една променлива одеднаш, зашто кешираната состојба крие кој параметар се поместил.

Оставете го стариот комплет само додека е потребен

Фиксирањето на SHA-1 со 1024-битна група е мост, а не цел. И двете се застарени, и поновите клиенти може целосно да ги одбијат, што значи дека профилот ќе падне на следниот уред без никаква промена кај вас. Третирајте го фиксирањето како привремено и запишете го тоа во записникот.

Ако strongSwan е ваш, додајте современа понуда и дозволете двата краја да преговараат нагоре додека стариот запис останува за постари уреди. Прочитајте го излезот за состојбата на демонот за да видите кој комплет навистина го користело секое поврзување. Потоа отстранете го фиксирањето на клиентската страна кога современиот пар ќе се потврди. Подигнат тунел не е доволен доказ, зашто може да се подигне на комплетот што сте се обидувале да го пензионирате. Документацијата на strongSwan за IKEv2 го опишува синтаксата на понудите и strict означувачот.