iOS IKEv2 ਤੋਂ strongSwan: ਕੋਈ ਪ੍ਰਸਤਾਵ ਨਹੀਂ ਚੁਣਿਆ, ਸੂਚੀ ਠੀਕ ਕਰੋ

iPhone ਸੁਰੰਗ ਚੁੱਕਦਾ ਹੈ, ਗੇਟਵੇ ਕੁਝ ਵੀ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ ਅਤੇ ਫ਼ੋਨ ਆਮ ਫੇਲ੍ਹ ਹੋਣਾ ਦਿਖਾਉਂਦਾ ਹੈ। strongSwan ਦਾ ਲਾਗ ਵਧੇਰੇ ਸਪਸ਼ਟ ਹੈ: no proposal chosen। ਇਹ ਸੁਨੇਹਾ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸਵੀਕਾਰਯੋਗ ਸਾਈਫ਼ਰ ਸੂਟਾਂ ਦੀਆਂ ਦੋਵੇਂ ਸੂਚੀਆਂ ਕਦੇ ਨਹੀਂ ਮਿਲੀਆਂ, ਇਸ ਲਈ ਪ੍ਰਮਾਣਿਕਤਾ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਅਦਲਾ-ਬਦਲੀ ਖ਼ਤਮ ਹੋ ਗਈ। ਇਹ ਮਿਲਾਉਣ ਦੀ ਸਮੱਸਿਆ ਹੈ ਅਤੇ ਹੱਲ ਇਹ ਹੈ ਕਿ ਸੂਚੀਆਂ ਇੱਕ-ਦੂਜੇ ਨੂੰ ਕੱਟਣ।

ਗੇਟਵੇ ਆਪਣੀ ਨੀਤੀ ਕਿੱਥੇ ਐਲਾਨਦਾ ਹੈ

strongSwan ਆਪਣੀ ਨੀਤੀ ਸੰਰਚਨਾ ਵਿੱਚ ਲਿਖਦਾ ਹੈ ਅਤੇ ਅੰਤ ਵਾਲਾ ਵਿਸਮਿਕ ਚਿੰਨ੍ਹ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਉਹ ਨੀਤੀ ਕਿਵੇਂ ਪੜ੍ਹੀ ਜਾਵੇ। ਚਿੰਨ੍ਹ ਨਾਲ ਸੂਚੀ ਪੂਰੀ ਹੁੰਦੀ ਹੈ: ਸਿਰਫ਼ ਉਹੀ ਐਂਟਰੀਆਂ ਸਵੀਕਾਰ ਹੁੰਦੀਆਂ ਹਨ, ਹੋਰ ਕੁਝ ਨਹੀਂ। ਚਿੰਨ੍ਹ ਤੋਂ ਬਿਨਾਂ ਉਹੀ ਲਾਈਨ ਤਰਜੀਹ ਦਾ ਕ੍ਰਮ ਬਣਦੀ ਹੈ ਅਤੇ ਡੈਮਨ ਤੁਹਾਡੇ ਇਰਾਦੇ ਤੋਂ ਬਿਨਾਂ ਕੁਝ ਚੁਣ ਸਕਦਾ ਹੈ। ਕੁਝ ਵੀ ਅਨੁਵਾਦ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁੱਛੋ ਕਿ ਕਿਹੜਾ ਰੂਪ ਤੈਨਾਤ ਹੈ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਇੱਕੋ ਕਲਾਇੰਟ ਨਾਲ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰਦੇ ਹਨ। ਚਿੰਨ੍ਹ ਸਮੇਤ ਸਹੀ ਲਾਈਨ ਦਰਜ ਕਰੋ ਅਤੇ ਉਸੇ ਦੇ ਵਿਰੁੱਧ ਜਾਂਚ ਕਰੋ।

ਵਧੇਰੇ ਚੌੜੀ ਸੂਚੀ ਦੇਣ ਵਾਲਾ ਕਲਾਇੰਟ ਵੀ ਪਿੰਨ ਕੀਤੇ ਗੇਟਵੇ ਨਾਲ ਜੁੜ ਸਕਦਾ ਹੈ, ਜੇ ਦੋਵੇਂ ਪਾਸਿਆਂ 'ਤੇ ਘੱਟੋ-ਘੱਟ ਇੱਕ ਸੰਯੋਜਨ ਹੋਵੇ। ਜੋ ਨਹੀਂ ਹੋ ਸਕਦਾ ਉਹ ਹੈ ਪਿੰਨ ਕੀਤੇ ਸਮੂਹ ਤੋਂ ਬਾਹਰ ਗੱਲਬਾਤ।

ਇਸੇ ਲਈ ਕਿਸੇ ਹੋਰ VPN ਐਪ ਤੋਂ ਨਕਲ ਕੀਤਾ ਪ੍ਰੋਫ਼ਾਈਲ ਉੱਥੇ ਕੰਮ ਕਰ ਸਕਦਾ ਹੈ ਜਿੱਥੇ ਤੁਹਾਡਾ ਨਹੀਂ ਕਰਦਾ: ਉਸ ਐਪ ਨੇ ਵੱਖਰੀ ਸੂਚੀ ਭੇਜੀ ਸੀ।

ਨਾਵਾਂ ਮਿਲਣੇ ਚਾਹੀਦੇ ਹਨ, ਸੁਧਰਨੇ ਨਹੀਂ

strongSwan ਤੋਂ iOS ਵਿੱਚ ਮੁੱਲ ਲਿਜਾਂਦਿਆਂ ਦੋ ਅਨੁਵਾਦ ਲੋਕਾਂ ਨੂੰ ਉਲਝਾਉਂਦੇ ਹਨ। IKE ਪ੍ਰਸਤਾਵ ਵਿੱਚ SHA1 ਲਿਖਿਆ ਅਖੰਡਤਾ ਐਲਗੋਰਿਦਮ ਆਪਣੇ ਛੋਟੇ ਰੂਪ ਵਿੱਚ ਚੱਲਦਾ ਹੈ, ਜਿਸਨੂੰ iOS .SHA96 ਕਹਿੰਦਾ ਹੈ। modp1024 ਲਿਖਿਆ Diffie-Hellman ਸਮੂਹ ਸਮੂਹ 2 ਹੈ, ਜਿਸਨੂੰ iOS .group2 ਕਹਿੰਦਾ ਹੈ। SHA-256 ਜਾਂ ਸਮੂਹ 14 ਨਾਲ ਬਦਲਣ 'ਤੇ ਸਿਰਫ਼ ਪੁਰਾਣੀ ਜੋੜੀ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲੇ ਗੇਟਵੇ ਨਾਲ ਗੱਲਬਾਤ ਨਹੀਂ ਹੋਵੇਗੀ। ਕਲਾਇੰਟ ਨੂੰ ਵਧੇਰੇ ਮਜ਼ਬੂਤ ਨਹੀਂ, ਉਹੀ ਐਲਗੋਰਿਦਮ ਦੱਸਣਾ ਚਾਹੀਦਾ ਹੈ।

ਉਹ ਮੁੱਲ NEVPNProtocolIKEv2 ਵਿੱਚ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਸੈੱਟ ਕਰੋ। ਡਿਫ਼ਾਲਟ ਮੁੱਲ ਬਦਲੇ ਜਾ ਰਹੇ ਪ੍ਰੋਫ਼ਾਈਲ ਨਾਲੋਂ ਚੌੜੇ ਜਾਂ ਤੰਗ ਹੋ ਸਕਦੇ ਹਨ ਅਤੇ ਫ਼ਰਕ ਸਿਰਫ਼ ਹੈਂਡਸ਼ੇਕ ਫੇਲ੍ਹ ਹੋਣ 'ਤੇ ਦਿਸਦਾ ਹੈ।

ਬਾਲ ਪ੍ਰਸਤਾਵ ਬਾਅਦ ਵਿੱਚ ਅਤੇ ਵਧੇਰੇ ਚੁੱਪਚਾਪ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ

ਸਿਰਫ਼ IKE ਨਹੀਂ, ਬਾਲ ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਵੀ ਸੰਰਚਿਤ ਕਰੋ। ਜਦੋਂ ਸਿਰਫ਼ IKE ਪੈਰਾਮੀਟਰ ਮਿਲਦੇ ਹਨ, ਸੁਰੰਗ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਟ੍ਰੈਫ਼ਿਕ ਨਹੀਂ ਢੋਂਦੀ, ਜੋ ਇਨਕਾਰ ਨਾਲੋਂ ਕਿਤੇ ਵਧੇਰੇ ਚੁੱਪ ਫੇਲ੍ਹ ਹੋਣਾ ਹੈ। ਬਾਲ ਦਾ ਐਨਕ੍ਰਿਪਸ਼ਨ, ਅਖੰਡਤਾ, ਸਮੂਹ ਅਤੇ ਉਮਰ ਇੱਕੋ ਕਦਮ ਵਿੱਚ ਸੈੱਟ ਕਰੋ। ਕਲਾਇੰਟ ਦੀ ਉਮਰ ਗੇਟਵੇ ਦੇ ਮੁੱਲ ਦੇ ਬਰਾਬਰ ਜਾਂ ਘੱਟ ਰੱਖੋ, ਕਿਉਂਕਿ ਵੱਧ ਲੰਬਾਈ ਦੀ ਜ਼ਿੱਦ ਕਰਨ 'ਤੇ ਕਿਸੇ ਹੋਰ ਕਾਰਨ ਨਾਲ ਉਹੀ no proposal chosen ਸੁਨੇਹਾ ਆਉਂਦਾ ਹੈ। ਉੱਥੋਂ ਦੀ ਅਸੰਗਤੀ ਲਾਗ ਵਿੱਚ IKE ਅਸੰਗਤੀ ਵਰਗੀ ਦਿਸਦੀ ਹੈ।

ਸੰਰਚਨਾ ਵਿੱਚ ਹੁੰਦਿਆਂ ਜਾਂਚੋ ਕਿ ਪ੍ਰੋਫ਼ਾਈਲ ਸਰਟੀਫ਼ਿਕੇਟਾਂ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ ਜਾਂ ਸਾਂਝੇ ਭੇਤ ਨਾਲ। ਪ੍ਰਸਤਾਵ ਦਾ ਇਨਕਾਰ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਇਨਕਾਰ ਵੱਖਰੀਆਂ ਲਾਈਨਾਂ 'ਤੇ ਦਿਸਦੇ ਹਨ ਅਤੇ ਗ਼ਲਤ ਨੂੰ ਠੀਕ ਕਰਨਾ ਇੱਕ ਦਿਨ ਖਾ ਜਾਂਦਾ ਹੈ। ਹਰ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਨਵੀਂ ਕਨੈਕਸ਼ਨ ਨਾਲ ਜਾਂਚੋ, ਇੱਕ ਵਾਰ ਵਿੱਚ ਇੱਕ ਵੇਰੀਏਬਲ, ਕਿਉਂਕਿ ਕੈਸ਼ ਕੀਤੀ ਸਥਿਤੀ ਲੁਕਾਉਂਦੀ ਹੈ ਕਿ ਕਿਹੜਾ ਪੈਰਾਮੀਟਰ ਹਿਲਿਆ।

ਪੁਰਾਣਾ ਸੂਟ ਸਿਰਫ਼ ਲੋੜ ਹੋਣ ਤੱਕ ਰੱਖੋ

SHA-1 ਨੂੰ 1024-ਬਿੱਟ ਸਮੂਹ ਨਾਲ ਪਿੰਨ ਕਰਨਾ ਪੁਲ ਹੈ, ਮੰਜ਼ਿਲ ਨਹੀਂ। ਦੋਵੇਂ ਪੁਰਾਣੇ ਹੋ ਚੁੱਕੇ ਹਨ ਅਤੇ ਨਵੇਂ ਕਲਾਇੰਟ ਉਨ੍ਹਾਂ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਇਨਕਾਰ ਕਰ ਸਕਦੇ ਹਨ, ਜਿਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਤੁਹਾਡੇ ਪਾਸਿਓਂ ਕੋਈ ਬਦਲਾਅ ਤੋਂ ਬਿਨਾਂ ਅਗਲੀ ਡਿਵਾਈਸ 'ਤੇ ਪ੍ਰੋਫ਼ਾਈਲ ਫੇਲ੍ਹ ਹੋਵੇਗਾ। ਪਿੰਨ ਨੂੰ ਅਸਥਾਈ ਮੰਨੋ ਅਤੇ ਰਿਕਾਰਡ ਵਿੱਚ ਇੰਝ ਲਿਖੋ।

ਜੇ strongSwan ਤੁਹਾਡਾ ਹੈ ਤਾਂ ਆਧੁਨਿਕ ਪ੍ਰਸਤਾਵ ਸ਼ਾਮਲ ਕਰੋ ਅਤੇ ਪੁਰਾਣੀ ਐਂਟਰੀ ਪੁਰਾਣੀਆਂ ਡਿਵਾਈਸਾਂ ਲਈ ਰਹਿੰਦਿਆਂ ਦੋਵੇਂ ਸਿਰਿਆਂ ਨੂੰ ਉੱਪਰ ਵੱਲ ਗੱਲਬਾਤ ਕਰਨ ਦਿਓ। ਹਰ ਕਨੈਕਸ਼ਨ ਨੇ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਸੂਟ ਵਰਤਿਆ, ਇਹ ਵੇਖਣ ਲਈ ਡੈਮਨ ਦਾ ਸਥਿਤੀ ਆਉਟਪੁੱਟ ਪੜ੍ਹੋ। ਫਿਰ ਆਧੁਨਿਕ ਜੋੜੀ ਦੀ ਪੁਸ਼ਟੀ ਹੋਣ 'ਤੇ ਕਲਾਇੰਟ ਪਾਸੇ ਦਾ ਪਿੰਨਿੰਗ ਹਟਾਓ। ਸੁਰੰਗ ਦਾ ਚੜ੍ਹਨਾ ਹੀ ਕਾਫ਼ੀ ਸਬੂਤ ਨਹੀਂ, ਕਿਉਂਕਿ ਇਹ ਉਸ ਸੂਟ 'ਤੇ ਵੀ ਚੜ੍ਹ ਸਕਦੀ ਹੈ ਜਿਸਨੂੰ ਤੁਸੀਂ ਹਟਾਉਣਾ ਚਾਹੁੰਦੇ ਸੀ। strongSwan IKEv2 ਦਸਤਾਵੇਜ਼ ਪ੍ਰਸਤਾਵ ਦੀ ਵਾਕ ਰਚਨਾ ਅਤੇ strict ਨਿਸ਼ਾਨ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ।