Għaliex IKEv2 fuq Android ifalli fuq port UDP mhux standard

Il-formola nattiva tal-IKEv2 tieħu indirizz, mhux port. Ivverifika li l-klijent jappoġġaha, issettja ż-żewġ portijiet tas-server, imbagħad ħares lejn il-qafas u r-reġistri.

Il-gateway iwieġeb għal IKEv2 fuq UDP 4443 għal xi raġuni, il-profil għandu qasam bl-isem Server, inti tikteb l-isem tal-host u l-port, u t-telefon jirrapporta li ma jistax jasal mas-server jew ma jistax isib l-indirizz. Xejn mhu qed jiġi mblukkat. Il-formola nattiva ta’ Android tistenna host, u l-istess jgħodd fuq Windows. Port personalizzat hija kapaċità tal-klijent qabel ma tkun setting tas-server, u ftit klijenti biss iħalluk tesprimiha. Għaddi mit-tliet partijiet bl-ordni: x’jista’ jgħid il-klijent, x’qed jisma’ s-server, u jekk iż-żewġt itruf jaqfsux il-pakketti bl-istess mod.

X’bagħat it-telefon fil-fatt

String host:port f’qasam maħsub għal isem jiġi riżolt bħala isem. Ir-riżolver ma jirritornax xejn għal vpn.example.net:4443, u l-iżball li tara huwa falliment ta’ riżoluzzjoni tal-isem jew ta’ nuqqas ta’ aċċess, mhux skadenza ta’ żmien fuq port. Din id-differenza hija importanti, għax erġa’ pprova b’isem iqsar jew b’netwerk ieħor qatt mhu se jsewwi string li l-formola ma tistax tanalizza.

Il-profil nattiv tal-IKEv2 fuq Android, bħall-klijent VPN inkorporat ta’ Windows, huwa mwaħħal mal-portijiet IKE standard. L-ebda waħda minnhom ma turi qasam tal-port, u l-ebda editjar tal-profil ma jżid wieħed. Jekk is-semmiegħa tal-operatur tassew jinsab fuq 4443, il-klijent inkorporat huwa l-għodda ħażina, mhux wieħed ikkonfigurat ħażin.

Uża klijent li juri l-port

Il-klijent strongSwan għal Android jiddokumenta port tas-server konfigurabbli fl-settings avvanzati tal-profil, u għalhekk jidher fi kważi kull riċetta li taħdem għal dan id-disinn. Dan l-appoġġ jappartjeni għal dak il-klijent: app IKEv2 oħra, jew fork tal-fornitur tal-istess app, tista’ ma turix l-istess qasam għalkemm id-daemon strongSwan ta’ taħt jappoġġjah.

Itlob lill-operatur għas-sett kollu f’daqqa: isem il-gateway, port UDP, metodu ta’ awtentikazzjoni, u l-identità tas-server li l-klijent għandu jistenna. Port personalizzat mhux raġuni biex tiddiżattiva l-verifika taċ-ċertifikati jew tbiddel il-protokolli. Daħħal il-port fejn il-klijent installat jistenna, u jekk dak il-klijent m’għandux qasam bħal dan, it-tweġiba hija klijent ieħor approvat u mhux soluzzjoni mbajda.

Is-server għandu żewġ portijiet, u t-tnejn iridu jaqblu

IKE jibda fuq UDP 500, u t-traversata NAT ġeneralment iċċaqlaq IKE u ESP inkapsulat għal UDP 4500. Dawn huma settings separati fi strongSwan, għalhekk server imċaqlaq għal port personalizzat wieħed irid ibiddel it-tnejn għall-istess valur:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

B’port wieħed għaż-żewġ rwoli, id-daemon irid jiddistingwi IKE minn ESP-fi-UDP fuq l-istess socket, li jagħmlu permezz tal-markatur ta’ erba’ bytes li mhuwiex ESP u li jiġi qabel messaġġ IKE. Għalhekk klijent ma jistax jinnegozja fuq il-port personalizzat u mbagħad ikompli bil-kwiet fuq 4500, u għalhekk il-frażi “biss ibdel il-port” taħbi rekwiżit ta’ qafas.

It-trasferiment mhuwiex semmiegħa

It-trasferiment ta’ 4443 lejn semmiegħa IKE ordinarju huwa l-mod ta’ falliment li jidher kważi b’suċċess. L-ewwel skambju jasal, is-server iwieġeb, u mbagħad il-konnessjoni tieqaf jew terġa’ tiġġenera ċ-ċwievet għal xejn, għax it-tweġiba toħroġ minn port ieħor u t-traffiku inkapsulat aktar tard qatt ma jaqbel mal-istat li ħolqu ż-żewġt itruf. Regola li terġa’ tikteb il-port tad-destinazzjoni mingħajr ma ċċaqlaq is-semmiegħa tipproduċi eżatt dan ir-riżultat nofsu miftuħ.

It-triq irid tippermetti wkoll UDP minn tarf għal tarf. Li TCP 443 jgħaddi minn netwerk ta’ lukanda jew ta’ operatur ma jgħid xejn dwar IKEv2 fuq port UDP, anki bl-istess numru. Fejn huwa permess biss TCP 443, port UDP personalizzat ma jbiddilx IKEv2 f’HTTPS, u t-tweġiba t-tajba tista’ tkun triq ta’ aċċess oħra u mhux esperiment ieħor tal-port.

Issepara t-tliet stadji meta tittestja

Aqbad fuq is-server waqt li l-klijent jipprova darba. Talba li qatt ma tasal hija kwistjoni ta’ punt finali jew firewall; talba li tasal mingħajr tweġiba hija kwistjoni ta’ semmiegħa jew politika; tweġiba li tiġi segwita mis-skiet hija l-kwistjoni tal-qafas jew tal-identità.

tcpdump -ni eth0 -vv udp port 4443

Imbagħad aqra l-messaġġ tal-klijent u mhux l-indikatur li jdur tiegħu. Żball fil-proposta jfisser li l-algoritmi ma jaqblux, falliment fl-awtentikazzjoni jfisser li l-identitajiet jew iċ-ċertifikati ma jaqblux, u trażmissjonijiet ripetuti mingħajr tweġiba jfissru li xejn mhu qed iwieġeb fuq dak il-port. Ittestja stadju wieħed kull darba u ibdel qasam wieħed bejn il-provi; id-dokumentazzjoni ta’ strongSwan dwar it-traversata NAT tiddeskrivi l-markatur u l-imġiba tal-port li l-qabda qed turik.

Artikli relatati