iOS je odbio vaš strongSwan tunel: uporedite IKE predloge

Ništa u sertifikatu ili adresi ne objašnjava zašto iPhone koji se prošle godine povezivao na strongSwan ove godine ne uspijeva. Ništa na adresi, unaprijed dijeljenom ključu ili identitetu klijenta nije moralo da se promijeni. Ono što se pomjerilo je lista transformacija koje je ugrađeni klijent telefona spreman da pregovara, i kada se ta lista prestane preklapati sa serverovom, razmjena se završava prije nego što se provjeri ičiji identitet.

Linija u dnevniku koja odlučuje

Pojačajte zapisivanje za tu vezu i pronađite dva unosa koji odlučuju o ishodu: šta je telefon ponudio i šta je server izabrao. Ako se dnevnik završi bez izabranog predloga i prijavi da se ništa nije poklopilo, autentifikacija uopšte nije pokušana. Novi sertifikat i nova lozinka tu ništa ne mijenjaju, jer se oboje troše u kasnijoj fazi. Niti jedno ne može uticati na ishod koji je odlučen prije provjere identiteta.

Razdvojite dva oblika kvara prije nego što bilo šta uredite. Nijedno uređivanje transformacija ne spašava odbijene akreditive, a nijedno popravljanje akreditiva ne spašava odbijenu transformaciju. Unos u dnevniku koji imenuje izabrani predlog kaže vam u kojoj ste od te dvije situacije. Bez tog unosa, nagađate.

Izabrana linija imenuje predlog po njegovom skupu transformacija, a ne po prijaznom nazivu. Uporedite polja šifrovanja, integriteta i grupe u toj liniji sa listom koju je telefon poslao, jer neslaganje u bilo kojem polju dovoljno je za gubitak.

Šta se promijenilo na telefonu

Jedno izdanje iOS-a skratilo je algoritme koje je njegov klijent voljan koristiti. Slabi heševi integriteta, male Diffie-Hellman grupe i predlozi koji stare opcije navode prve prestali su biti prihvatljivi.

Duže liste ovdje nisu sigurnije. Izbor slijedi prihvaćeni skup telefona i njegov vlastiti redoslijed prioriteta, pa server koji oglašava širok katalog ipak može izgubiti pregovaranje kada moderni unosi nisu oni koji se biraju. Preferirajte kratku listu s modernim unosima na početku. Duga lista koja počinje starim opcijama poziva upravo kvar koji pokušavate izbjeći. Prihvaćeni skup je vanjsko ograničenje koje se pomjeri pri svakom ažuriranju klijenta, pa konfiguracija koja je radila juče dokaz je o juče.

Jedan par koji se još uvijek dogovara

Za sadašnje telefone dovoljna je jedna moderna kombinacija. Jedan par koji se dogovara izgleda ovako:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Linija ike nosi šifrovanje, integritet i Diffie-Hellman grupu koji se koriste dok razmjena ključeva traje. Linija esp pokriva samo kanal podataka, jer je grupa određena prije nego što se primijeni. Ponovo učitajte vezu ili restartujte demon, pa ponovo povežite telefon. Zadržite tu vrijednost grupe samo ako je svaki klijent kojem služite još prihvata, i ne širite predlog za sve zato što jednom starom peer-u treba više.

Tri mjesta za popravku, jedno je obično zatvoreno

• Jedan moderni predlog za svaki peer. Ispravno kada su svi klijenti sadašnji telefoni i desktopi. Briše stare transformacije umjesto da pregovara oko njih.
• Druga definicija veze za Apple klijente. Drži jedan stari peer na životu dok telefonu daje predlog koji prihvata. Košta još jedan blok veze i čini izuzetak vidljivim.
• Promjena klijenta. Rijetko vam je otvoreno: kada upravljački sistem ili aplikacija isporučuje profil, nema uređivača predloga koji biste dodirnuli, a ugrađeni klijent ga ne izlaže.

Izaberite drugu opciju kada se uređaj van vaše kontrole ne može ažurirati. Izaberite prvu kada možete umiroviti stari peer i radije nosite jednu politiku.

U svakom slučaju izbor je vidljiv u konfiguraciji, i to je poenta. Tihi fallback koji pregovara naniže do stare transformacije gori je od eksplicitnog bloka, jer ga nijedan pregled nikada neće otkriti.

Dokažite to, pa zapišite

Ponovo se povežite i provjerite tri odvojene činjenice na serveru: predlog je izabran, veza se prikazuje kao uspostavljena i klijent je dobio adresu. Uspostavljen handshake bez udaljene adrese upućuje na pool ili selektore saobraćaja, i tome je mjesto u zasebnoj promjeni. Tretiranje dvoga zajedno čini riješeno pregovaranje neriješenim.

Zapišite skup transformacija koji je prihvaćen, kada ste ga promijenili i koje ste izdanje klijenta provjerili. Sljedeće ažuriranje može ponovo pomjeriti zahtjev, a vrijednosti koje su radile prvo su što ćete poželjeti pored novih.