iOS IKEv2 u strongSwan: nijedan predlog nije izabran, popravi listu

iPhone podiže tunel, gateway ne odgovara ničim, a telefon prikazuje opštu grešku. Dnevnik strongSwan-a je precizniji: no proposal chosen. Ta poruka znači da se dvije liste prihvatljivih šifarskih skupova nikada nisu preklopile, pa je razmjena završila prije nego što je autentifikacija počela. To je problem poklapanja, a rješenje je učiniti da se liste sijeku.

Gdje gateway objavljuje svoju politiku

strongSwan upisuje politiku u konfiguraciju, a uzvičnik na kraju odlučuje kako se ta politika čita. Sa znakom lista je iscrpna: prihvataju se samo ti unosi i ništa drugo. Bez znaka ista linija je redoslijed preferencija, a daemon može izabrati nešto što niste namjeravali. Pitajte koja je forma implementirana prije nego što bilo šta prevedete, jer se dvije ponašaju različito prema istom klijentu. Zapišite tačnu liniju, sa znakom, i testirajte prema njoj.

Klijent koji nudi širu listu ipak se može povezati na prikvačen gateway, sve dok se jedna kombinacija pojavljuje na obje strane. Ono što se ne može dogoditi je pregovaranje izvan prikvačenog skupa.

Zato profil kopiran iz druge VPN aplikacije može raditi tamo gdje vaš ne radi: ta druga aplikacija je slala drugu listu.

Imena se moraju podudarati, a ne poboljšavati

Dva prijevoda zbunjuju ljude koji prenose vrijednosti iz strongSwan-a u iOS. Algoritam integriteta napisan kao SHA1 u IKE predlogu putuje u svom skraćenom obliku, koji iOS zove .SHA96. Diffie-Hellman grupa napisana kao modp1024 je grupa 2, koju iOS zove .group2. Zamjena sa SHA-256 ili grupom 14 neće pregovarati s gatewayem koji prihvata samo stariji par. Klijent mora opisati isti algoritam, a ne jači.

Postavite te vrijednosti eksplicitno u NEVPNProtocolIKEv2. Zadane vrijednosti mogu biti šire ili uže od profila koji zamjenjujete, a razlika se vidi tek kada rukovanje ne uspije.

Podređeni predlog pada kasnije i tiše

Konfigurirajte i podređenu sigurnosnu asocijaciju, ne samo IKE. Kada se poklapaju samo IKE parametri, tunel se autentificira i zatim ne prenosi saobraćaj, što je mnogo tiši kvar od odbijanja. Postavite šifriranje, integritet, grupu i životni vijek podređene u istom prolazu. Držite životni vijek klijenta jednak ili manji od vrijednosti gatewaya, jer insistiranje na dužem daje istu poruku no proposal chosen iz drugog uzroka. Nepodudaranje tamo izgleda identično kao nepodudaranje IKE u dnevniku.

Provjerite da li se profil autentificira certifikatima ili zajedničkom tajnom dok ste u konfiguraciji. Odbijanje predloga i odbijanje autentifikacije pojavljuju se na različitim linijama, a popravljanje pogrešnog košta dan. Testirajte sa svježom vezom nakon svake promjene, po jedna varijabla, jer keširano stanje skriva koji se parametar pomjerio.

Ostavite stari skup samo dok je potreban

Prikvačivanje SHA-1 uz grupu od 1024 bita je most, a ne odredište. Oba su zastarjela, a noviji klijenti mogu ih odbiti u potpunosti, što znači da će profil pasti na sljedećem uređaju bez ikakve promjene na vašoj strani. Tretirajte prikvačivanje kao privremeno i tako napišite u zapisniku.

Ako je strongSwan vaš, dodajte moderni predlog i pustite oba kraja da pregovaraju prema gore dok stari unos ostaje za starije uređaje. Pročitajte izlaz statusa daemona da vidite koji je skup svaka veza zaista koristila. Zatim uklonite prikvačivanje na strani klijenta kada moderni par bude potvrđen. Podignut tunel nije dovoljan dokaz, jer se može podići na skupu koji ste pokušavali umiroviti. Dokumentacija strongSwan-a za IKEv2 opisuje sintaksu predloga i strict oznaku.