Sababta IKEv2 ku guuldareysto Android-ka dekedda UDP aan caadiga ahayn

Albaabka wuxuu IKEv2 ka jawaabaa UDP 4443 sabab la leh, borofaylku wuxuu leeyahay goob lagu magacaabo Server, waxaad qortaa magaca martigeliyaha iyo dekedda, telefoonkuna waxay soo sheegtaa in aanu gaari karin server-ka ama aanu xallin karin cinwaanka. Waxba lama xannibo. Foomka asalka ah ee Android wuxuu filayaa martigeliyaha, sidaas oo kale Windows-gaba. Deked gaar ah waa awood macmiilka ka hor inta aanay noqon dejinta server-ka, oo kaliya macmiiliyada qaarkood ayaa kuu ogolaada inaad muujiso. Saddexda qaybood si taxane ah u fiiri: waxa macmiilku odhan karo, waxa server-ku dhageysanayo, iyo in labada daraf ay isku si u qaabeeyaan baakadaha.

Waxa telefoonku dhab ahaan soo diray

Xarig host:port oo ku jira goob loogu talagalay magac waxaa loo xalliyaa magac ahaan. Xalliyuhu waxba kama soo celiyo vpn.example.net:4443, oo khaladka aad aragto ma aha waqti dhammaad deked, balse waa guuldarro xallinta magaca ama aan-la-gaari-karin. Farqigaas waa muhiim, sababtoo ah isku day mar kale oo leh magac gaaban ama shabakad kale marnaba ma hagaajin doono xarig ay foomku falanqayn karin.

Borofaylka asalka ah ee IKEv2 ee Android, sida macmiilka VPN ee Windows, waxaa lagu dhejiyay dekedaha caadiga ah ee IKE. Midkoodna ma muujiyo goob deked, oo wax tafatir borofayl ah ma ku daro mid. Haddii dhageyste-haye shaqada uu dhab ahaan ku jiro 4443, macmiilka dhex-dhisan waa qalab khaldan, ma aha mid si khaldan loo habeeyay.

Isticmaal macmiil muujiya dekedda

Macmiilka strongSwan ee Android wuxuu diiwaangeliyaa deked server oo la habeyn karo dejinta borofaylka sare, sidaas darteed wuxuu ka muuqdaa ku dhawaad cunto kasta oo shaqeeya naqshaddan. Taageeradaas waxaa leh macmiilkaas: abka IKEv2 kale, ama laan iibiyaha ah oo isla abkaas ah, laga yaabee in aanu muujin goobtaas inkasta oo daemon-ka strongSwan ee hoose uu taageerayo.

Haye shaqada ka codso dhammaan qaybaha hal mar: magaca albaabka, dekedda UDP, habka xaqiijinta, iyo aqoonsiga server-ka ee macmiilku waa inuu filaa. Deked gaar ah ma aha sabab loo damiyo hubinta shahaadooyinka ama loo beddelo borotokoolada. Geli dekedda meesha macmiilka la rakibay uu filayo, haddii macmiilkaas aanu lahayn goob sidan oo kale, jawaabtu waa macmiil kale oo la ansixiyay, ma aha xeelad la mala-awalay.

Server-ku wuxuu leeyahay laba deked, labadaba waa inay iswaafaqaan

IKE wuxuu ka bilaabmaa UDP 500, oo gudbinta NAT waxay badanaa u rartaa IKE iyo ESP la duubay UDP 4500. Kuwani waa dejino gaar ah oo strongSwan, sidaas darteed server loo raray hal deked gaar ah waa inuu labadaba u beddelo qiime isku mid ah:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Marka hal deked u adeegto labada door, daemon-ku waa inuu ku kala saaro IKE iyo ESP-in-UDP isla socket-ka, taas oo uu ku sameeyo calaamadda afar byte ee aan ESP ahayn ee ka hor timaadda fariinta IKE. Sidaas darteed macmiilku kama wada-hadli karo dekedda gaarka ah oo uu ka dib si aamusan ugu sii socon karo 4500, iyo sidaas darteed jumlada “kaliya beddel dekedda” waxay qarinaysaa shuruud qaabayn.

Gudbin ma aha dhageyste

U gudbinta 4443 dhageyste IKE caadi ah waa habka guuldarrada ee u eg guul. Isweydaarsiga koowaad wuu yimaadaa, server-ku wuu jawaabaa, ka dib xiriirku wuu istaagaa ama furayaasha dib u soo saaraa waxba, sababtoo ah jawaabtu waxay ka baxdaa deked kale oo gaadiidka la duubay ee dambe marnaba kuma habboonaado xaaladda labada daraf sameeyeen. Qaanuunka dib u qora dekedda loo socdo isagoon dhageystaha dhaqaajin waxay soo saartaa isla natiijadan nus-furan.

Jidku waa inuu sidoo kale u oggolaado UDP dhammaad ilaa dhammaad. In TCP 443 uu maro shabakad huteel ama haye shaqo wax wax kama sheegto IKEv2 deked UDP, xitaa haddii lambarku isku mid yahay. Meesha kaliya TCP 443 loo oggol yahay, deked UDP gaar ah IKEv2 kama dhigto HTTPS, jawaabta saxda ahna waxay noqon kartaa waddo kale oo gelitaan, ma aha tijaabo kale oo deked.

Markaad tijaabinayso kala sooc saddexda marxaladood

Ku duub server-ka inta macmiilku hal mar isku dayayo. Codsi marnaba imanaya waa su'aal barta dhammaadka ama dab-demiska; codsi ka imanaya jawaab la'aan waa su'aal dhageyste ama siyaasad; jawaab ay raacdo aamusnaan waa su'aal qaabayn ama aqoonsi.

tcpdump -ni eth0 -vv udp port 4443

Ka dib akhri fariinta macmiilka halkii aad ka akhrin lahayd tilmaamihiisa wareegaya. Khalad soo-jeedin waxay ka dhigan tahay algorithms-ka isma raacaan, guuldarro xaqiijin waxay ka dhigan tahay aqoonsiyada ama shahaadooyinka isma raacaan, iyo dib-u-dirid soo noqnoqda oo jawaab la'aan ah waxay ka dhigan tahay waxba kama jawaabaan dekeddaas. Hal marxalad mar tijaabi oo isbeddel hal goob inta u dhaxaysa isku-dayada; dukumeentiga strongSwan ee ku saabsan gudbinta NAT wuxuu sharraxayaa calaamadda iyo hab-dhaqanka dekedda ee duubista ku tuseeyso.