iOS je zavrnil vaš tunel strongSwan: primerjajte predloge IKE

Nič v potrdilu ali naslovu ne pojasni, zakaj iPhone, ki se je lani povezal s strongSwan, letos ne uspe. Ni se nujno spremenilo nič pri naslovu, vnaprej dogovorjenem ključu ali identiteti odjemalca. Premaknil se je seznam transformacij, ki jih je vgrajeni odjemalec telefona pripravljen pogajati, in ko se ta seznam ne prekriva več s strežnikovim, se izmenjava konča, preden je preverjena katera koli identiteta.

Vrstica dnevnika, ki to odloči

Povečajte beleženje za to povezavo in poiščite dva vnosa, ki odločita izid: kaj je telefon ponudil in kaj je strežnik izbral. Če se dnevnik konča brez izbranega predloga in sporoči, da se ni ujemalo nič, preverjanje pristnosti ni bilo nikoli poskušeno. Sveže potrdilo in nova gesla na tej točki ne spremenijo ničesar, ker se oboje porabi v poznejši fazi. Nobeno od njiju ne more vplivati na izid, ki je bil odločen, preden je bila identiteta pregledana.

Dve obliki okvare ločite, preden karkoli uredite. Noben popravek transformacije ne reši zavrnjene poverilnice in noben popravek poverilnice ne reši zavrnjene transformacije. Vnos v dnevniku, ki imenuje izbran predlog, vam pove, v kateri od obeh situacij ste. Brez tega vnosa ugibate.

Izbrana vrstica imenuje predlog po njegovem naboru transformacij in ne po prijazni oznaki. Primerjajte polja šifriranja, celovitosti in skupine v tej vrstici s seznamom, ki ga je poslal telefon, ker zadošča že neujemanje v enem samem polju, da se pogajanje izgubi.

Kaj se je spremenilo na telefonu

Ena izdaja iOS je skrčila algoritme, ki jih je njen odjemalec pripravljen uporabljati. Šibki zgoščevalniki celovitosti, majhne skupine Diffie-Hellman in predlogi, ki najprej naštejejo stare možnosti, niso bili več sprejemljivi.

Daljši seznami tu niso varnejši. Izbor sledi naboru, ki ga telefon sprejema, in njegovemu lastnemu vrstnemu redu, zato lahko strežnik, ki oglašuje širok katalog, še vedno izgubi pogajanje, kadar izbrani niso sodobni vnosi. Raje uporabite kratek seznam s sodobnimi vnosi na začetku. Dolg seznam, ki se začne s starimi možnostmi, vabi prav tisto okvaro, ki se ji želite izogniti. Sprejeti nabor je zunanja omejitev, ki se premakne ob vsaki posodobitvi odjemalca, zato je včerajšnja delujoča konfiguracija dokaz o včeraj.

En par, ki se še vedno pogaja

Za sodobne telefone zadošča ena sama sodobna kombinacija. En par, ki se pogaja, je videti takole:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Vrstica ike nosi šifriranje, celovitost in skupino Diffie-Hellman, ki se uporabljajo med izmenjavo ključev. Vrstica esp pokriva samo podatkovni kanal, ker je bila skupina dogovorjena, preden se uporabi. Znova naložite povezavo ali znova zaženite demon, nato znova povežite telefon. To vrednost skupine obdržite le, če jo še vedno sprejema vsak odjemalec, ki mu strežete, in ne širite predloga za vse zato, ker en star peer potrebuje več.

Tri mesta za popravek, eno je običajno zaprto

• En sodoben predlog za vsakega peera. Pravilno, kadar so vsi odjemalci sodobni telefoni in namizja. Stare transformacije izbriše, namesto da bi se pogajal okoli njih.
• Druga definicija povezave za odjemalce Apple. Ohrani enega starega peera pri življenju, telefonu pa da predlog, ki ga sprejme. Stane dodaten blok povezave in naredi izjemo vidno.
• Sprememba odjemalca. Redko vam je na voljo: ko profil dostavi sistem za upravljanje ali aplikacija, ni urejevalnika predlogov, vgrajeni odjemalec pa ga ne izpostavi.

Drugo možnost izberite, kadar naprave, ki ni pod vašim nadzorom, ni mogoče posodobiti. Prvo izberite, kadar lahko starega peera umaknete in raje ohranite enotno politiko.

V vsakem primeru je izbira vidna v konfiguraciji in to je bistvo. Tiho poslabšanje, ki se pogaja navzdol na staro transformacijo, je slabše od izrecnega bloka, ker ga noben pregled ne bo razkril.

Dokažite, nato zapišite

Znova se povežite in na strežniku preverite tri ločena dejstva: predlog je bil izbran, povezava kaže vzpostavljeno in odjemalec je prejel naslov. Vzpostavljena izmenjava brez oddaljenega naslova kaže na bazen ali selektorje prometa in sodi v ločeno spremembo. Če oboje obravnavate skupaj, je rešeno pogajanje videti nerešeno.

Zapišite, kateri nabor transformacij je bil sprejet, kdaj ste ga spremenili in katero različico odjemalca ste preverili. Naslednja posodobitev lahko zahtevo spet premakne, vrednosti, ki so delovale, pa boste prve želeli imeti ob novih.