iOS IKEv2-оос strongSwan руу: санал сонгогдоогүй, жагсаалтыг засаарай

iPhone туннелийг өргөж, гарц юу ч хариулахгүй, утас ерөнхий алдаа харуулна. strongSwan-ы лог илүү тодорхой: no proposal chosen. Энэ мессеж нь хүлээн зөвшөөрөгдөх шифрлэлтийн багцын хоёр жагсаалт хэзээ ч давхцаагүй, тиймээс солилцоо баталгаажуулалт эхлэхээс өмнө дууссан гэсэн үг. Энэ нь тааруулах асуудал бөгөөд шийдэл нь жагсаалтуудыг огтлолцуулах юм.

Гарц өөрийн бодлогыг хаана зарладаг вэ

strongSwan бодлогоо тохиргоонд бичдэг бөгөөд төгсгөлийн анхаарлын тэмдэг тэр бодлогыг хэрхэн уншихыг шийддэг. Тэмдэгтэй бол жагсаалт бүрэн: зөвхөн тэдгээр бичлэгийг хүлээн авна, өөр юу ч үгүй. Тэмдэггүй бол мөнөөх мөр нь давуу эрхийн дараалал болж, демон таны санаанд ороогүй зүйлийг сонгож болно. Ямар хэлбэр суулгасныг ямар нэг зүйл орчуулахаас өмнө асуугаарай, учир нь хоёулаа нэг клиентэд өөр өөр хандана. Тэмдгийг оролцуулан яг мөрийг тэмдэглэж, түүн дээр туршина уу.

Илүү өргөн жагсаалт санал болгож буй клиент ч бэхэлсэн гарцтай холбогдож чадна, хэрэв хоёр талд ядаж нэг хослол байвал. Болохгүй зүйл бол бэхэлсэн олонлогоос гадуур хэлэлцээр юм.

Тиймээс өөр VPN аппаас хуулсан профайл таных ажиллахгүй байгаа газарт ажиллаж болно: тэр апп өөр жагсаалт илгээсэн.

Нэрс таарах ёстой, сайжрах ёсгүй

strongSwan-ы утгыг iOS руу зөөх хүмүүсийг хоёр орчуулга төөрөгдүүлдэг. IKE саналд SHA1 гэж бичсэн бүрэн бүтэн байдлын алгоритм нь товчилсон хэлбэрээр явдаг бөгөөд iOS үүнийг .SHA96 гэж нэрлэдэг. modp1024 гэж бичсэн Diffie-Hellman бүлэг нь 2-р бүлэг бөгөөд iOS үүнийг .group2 гэж нэрлэдэг. SHA-256 эсвэл 14-р бүлгээр солих нь зөвхөн хуучин хосыг хүлээн авдаг гарцтай хэлэлцэхгүй. Клиент илүү хүчтэй биш, яг тэр алгоритмыг тодорхойлох ёстой.

Эдгээр утгыг NEVPNProtocolIKEv2 дотор тодорхой тохируулна уу. Өгөгдмөл утга нь сольж буй профайлаас өргөн эсвэл нарийн байж болох бөгөөд ялгаа нь гар барилт бүтэлгүйтсэн үед л илэрнэ.

Хүү санал дараа, илүү чимээгүй бүтэлгүйтдэг

Хүү аюулгүй байдлын нэгдлийг ч IKE-тэй хамт тохируулна уу. Зөвхөн IKE параметрүүд таарвал туннель баталгаажиж, дараа нь урсгал зөөхгүй, энэ нь татгалзалтаас хамаагүй чимээгүй алдаа юм. Хүүгийн шифрлэлт, бүрэн бүтэн байдал, бүлэг, амьдрах хугацааг нэг алхамд тохируулна уу. Клиентийн хугацааг гарцын утгатай тэнцүү эсвэл доогуур байлгаарай, учир нь илүү урт шаардах нь өөр шалтгаанаас мөнөөх no proposal chosen мессежийг өгдөг. Тэндхийн зөрүү лог дахь IKE-ийн зөрүү шиг яг адил харагдана.

Тохиргоонд байхдаа профайл гэрчилгээгээр эсвэл хуваалцсан нууцаар баталгаажуулж байгаа эсэхийг шалгаарай. Саналын татгалзал ба баталгаажуулалтын татгалзал өөр мөрөнд гардаг бөгөөд буруугийг засах нь нэг өдөр үнэтэй. Өөрчлөлт бүрийн дараа шинэ холболтоор, нэг удаад нэг хувьсагчаар туршина уу, учир нь кэшлэсэн төлөв аль параметр хөдөлснийг нуудаг.

Хуучин багцыг зөвхөн шаардлагатай үед л үлдээгээрэй

SHA-1-ийг 1024 битийн бүлэгтэй бэхлэх нь гүүр, зорилго биш. Хоёулаа хоцрогдсон бөгөөд шинэ клиентүүд тэдгээрийг огт татгалзаж болно, энэ нь таны талаас ямар ч өөрчлөлтгүйгээр дараагийн төхөөрөмж дээр профайл бүтэлгүйтэнэ гэсэн үг. Бэхэлгээг түр зуурын гэж үзэж, бүртгэлд тэгж бичээрэй.

Хэрэв strongSwan таных бол орчин үеийн санал нэмж, хуучин бичлэг хуучин төхөөрөмжүүдэд үлдэх зуур хоёр төгсгөлийг дээшээ хэлэлцүүлээрэй. Демоны төлөвийн гаралтыг уншиж, холболт бүр яг аль багцыг ашигласныг хараарай. Орчин үеийн хос батлагдсаны дараа клиентийн талын бэхэлгээг авч хая. Туннель өргөгдсөн нь хангалттай нотолгоо биш, учир нь та хасахыг хүсч буй багц дээр ч өргөгдөж болно. strongSwan-ы IKEv2 баримт бичиг саналын синтакс болон strict тэмдгийг тайлбарладаг.