iOS IKEv2 lejn strongSwan: l-ebda proposta magħżula, sewwi l-lista

L-iPhone iqajjem it-tunnel, il-gateway iwieġeb b'xejn, u t-telefon juri falliment ġeneriku. Il-log ta' strongSwan huwa aktar preċiż: no proposal chosen. Dan il-messaġġ ifisser li ż-żewġ listi ta' suites ta' ċifrar aċċettabbli qatt ma ntrabtu, għalhekk l-iskambju ntemm qabel ma bdiet l-awtentikazzjoni. Din hija problema ta' tqabbil, u s-soluzzjoni hija li l-listi jaqsmu.

Fejn il-gateway jiddikjara l-politika tiegħu

strongSwan jikteb il-politika tiegħu fil-konfigurazzjoni, u l-marka ta' esklamazzjoni fl-aħħar tiddeċiedi kif dik il-politika tinqara. Bil-marka l-lista hija eżawrjenti: dawk l-entrati u xejn aktar jiġu aċċettati. Mingħajrha l-istess linja hija ordni ta' preferenza, u d-daemon jista' jagħżel xi ħaġa li ma kellokx f'moħħok. Staqsi liema forma hija skjerata qabel ma tittraduċi xi ħaġa, għax it-tnejn iġibu ruħhom b'mod differenti mal-istess klijent. Irreġistra l-linja eżatta, bil-marka inkluża, u ttestja kontra tagħha.

Klijent li joffri lista usa' xorta jista' jgħaqqad ma' gateway imwaħħal, sakemm tidher taħlita waħda fuq iż-żewġ naħat. Ma jistax jiġri negozjar barra mis-sett imwaħħal.

Huwa għalhekk li profil ikkupjat minn app VPN oħra jista' jaħdem fejn tiegħek ma jaħdimx: l-app l-oħra bagħtet lista differenti.

L-ismijiet iridu jaqblu, mhux jitjiebu

Żewġ traduzzjonijiet iqarrqu lil min iċaqlaq il-valuri minn strongSwan għal iOS. L-algoritmu tal-integrità miktub SHA1 fi proposta IKE jivvjaġġa fil-forma mqassra tiegħu, li iOS isejjaħlu .SHA96. Il-grupp Diffie-Hellman miktub modp1024 huwa grupp 2, li iOS isejjaħlu .group2. Is-sostituzzjoni b'SHA-256 jew grupp 14 mhix se tinnegozja ma' gateway li jaċċetta biss il-par l-antik. Il-klijent irid jiddeskrivi l-istess algoritmu, mhux wieħed aktar b'saħħtu.

Issettja dawk il-valuri b'mod espliċitu fi NEVPNProtocolIKEv2. Il-valuri awtomatiċi jistgħu jkunu usa' jew idjaq mill-profil li qed tissostitwixxi, u d-differenza tidher biss meta l-handshake jfalli.

Il-proposta tat-tifel tfalli aktar tard u aktar siekta

Ikkonfigura wkoll l-assoċjazzjoni tas-sigurtà tat-tifel, mhux biss dik tal-IKE. Meta jinqablu biss il-parametri tal-IKE, it-tunnel jawtentika u mbagħad ma jġorrx traffiku, li huwa falliment ħafna aktar sieket minn rifjut. Issettja ċ-ċifrar, l-integrità, il-grupp u l-ħajja tat-tifel fl-istess pass. Żomm il-ħajja tal-klijent daqs jew inqas mill-valur tal-gateway, għax l-insistenza fuq waħda itwal tipproduċi l-istess messaġġ no proposal chosen minn kawża differenti. Nuqqas ta' qbil hemmhekk jidher identiku għal nuqqas ta' qbil fl-IKE fil-log.

Iċċekkja jekk il-profil jawtentikax b'ċertifikati jew b'sigriet kondiviż waqt li tkun fil-konfigurazzjoni. Ir-rifjut ta' proposta u r-rifjut tal-awtentikazzjoni jidhru fuq linji differenti, u li ssewwi l-ħażin jiswa ġurnata. Ittestja b'konnessjoni friska wara kull bidla, varjabbli waħda kull darba, għax l-istat fil-cache jaħbi liema parametru ċċaqlaq.

Ħalli s-suite antika biss sakemm ikun meħtieġ

L-irbit ta' SHA-1 ma' grupp ta' 1024 bit huwa pont, mhux destinazzjoni. It-tnejn huma deprekati, u klijenti ġodda jistgħu jirrifjutawhom għal kollox, li jfisser li l-profil se jfalli fl-apparat li jmiss mingħajr ebda bidla min-naħa tiegħek. Ittratta l-irbit bħala temporanju u għid hekk fir-rekord.

Jekk strongSwan huwa tiegħek, żid proposta moderna u ħalli ż-żewġt itruf jinnegozjaw 'il fuq waqt li l-entrata antika tibqa' għall-apparati anzjani. Aqra l-output tal-istat tad-daemon biex tara liema suite użat kull konnessjoni tassew. Imbagħad neħħi l-irbit fuq in-naħa tal-klijent ladarba l-par modern jiġi kkonfermat. Tunnel li jitla' mhuwiex biżżejjed bħala prova, għax jista' jitla' fuq is-suite li kont qed tipprova tirtira. Id-dokumentazzjoni IKEv2 ta' strongSwan tiddeskrivi s-sintassi tal-proposti u l-markatur strict.