iOS refuzoi tunelin tuaj strongSwan: krahasoni propozimet IKE

Asgjë në certifikatë ose në adresë nuk shpjegon pse një iPhone që u lidh me strongSwan vitin e kaluar dështon këtë vit. Asgjë te adresa, çelësi i përbashkët ose identiteti i klientit nuk duhet të ketë ndryshuar. Ajo që lëvizi është lista e transformimeve që klienti i integruar i telefonit është i gatshëm të negociojë, dhe sapo ajo listë nuk mbivendoset më me atë të serverit, shkëmbimi përfundon përpara se të ekzaminohet identiteti i kujtdo.

Rreshti i regjistrit që e vendos

Rritni regjistrimin për atë lidhje dhe gjeni dy zërat që vendosin rezultatin: çfarë ofroi telefoni dhe çfarë zgjodhi serveri. Nëse regjistri përfundon pa një propozim të zgjedhur dhe raporton se asgjë nuk përputhej, vërtetimi i identitetit nuk u provua kurrë. Një certifikatë e re dhe një fjalëkalim i ri nuk ndryshojnë asgjë në atë pikë, sepse të dyja konsumohen në një fazë të mëvonshme. Asnjëra nuk mund të ndikojë në një rezultat që u vendos përpara se të ekzaminohej identiteti.

Mbani të ndara dy format e dështimit përpara se të redaktoni çdo gjë. Asnjë ndryshim transformimi nuk shpëton një kredencial të refuzuar, dhe asnjë rregullim kredenciali nuk shpëton një transformim të refuzuar. Zëri i regjistrit që emërton një propozim të zgjedhur ju thotë në cilën nga të dyja jeni. Pa atë zë, ju po hamendësoni.

Rreshti i zgjedhur e emërton propozimin me grupin e transformimeve të tij dhe jo me një etiketë miqësore. Krahasoni fushat e kriptimit, integritetit dhe grupit në atë rresht me listën që dërgoi telefoni, sepse një mospërputhje në një fushë të vetme mjafton për ta humbur.

Çfarë ndryshoi në telefon

Një version iOS reduktoi algoritmet që klienti i tij është i gatshëm të përdorë. Hash-et e dobëta të integritetit, grupet e vogla Diffie-Hellman dhe propozimet që listojnë të parat opsionet e vjetra pushuan së qeni të pranueshme.

Listat më të gjata nuk janë më të sigurta këtu. Zgjedhja ndjek grupin që telefoni pranon dhe renditjen e tij të preferencave, kështu që një server që reklamon një katalog të gjerë mund të humbasë ende negociatën kur zërat modernë nuk janë ata që zgjidhen. Preferoni një listë të shkurtër me zërat modernë të parët. Një listë e gjatë që hapet me opsione të vjetra fton pikërisht dështimin që po përpiqeni të shmangni. Grupi i pranuar është një kufizim i jashtëm që lëviz sa herë që klienti përditësohet, prandaj konfigurimi që funksiononte dje është provë për dje.

Një çift që ende negocion

Për telefonat aktualë mjafton një kombinim i vetëm modern. Një çift që negocion duket kështu:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Rreshti ike mbart kriptimin, integritetin dhe grupin Diffie-Hellman që përdoren gjatë shkëmbimit të çelësave. Rreshti esp mbulon vetëm kanalin e të dhënave, sepse grupi u vendos përpara se të zbatohet. Ringarkoni lidhjen ose rinisni demonin, pastaj rilidhni telefonin. Mbani atë vlerë grupi vetëm nëse çdo klient që shërbeni ende e pranon, dhe mos e zgjeroni propozimin për të gjithë sepse një peer i vjetër kërkon më shumë.

Tre vende për ta rregulluar, një zakonisht i mbyllur

• Një propozim modern për çdo peer. I saktë kur të gjithë klientët janë telefona dhe desktop aktualë. I fshin transformimet e vjetra në vend që të negociojë rreth tyre.
• Një përkufizim i dytë lidhjeje për klientët Apple. Mban gjallë një peer të vjetër ndërsa telefonit i jep një propozim që ai pranon. Kërkon një bllok tjetër lidhjeje dhe e bën përjashtimin të dukshëm.
• Ndryshimi i klientit. Rrallë i hapur për ju: kur një sistem menaxhimi ose një aplikacion dërgon profilin, nuk ka redaktues propozimesh për t'u prekur, dhe klienti i integruar nuk ekspozon një të tillë.

Zgjidhni opsionin e dytë kur një pajisje jashtë kontrollit tuaj nuk mund të përditësohet. Zgjidhni të parin kur mund ta tërhiqni peer-in e vjetër dhe preferoni të mbani një politikë të vetme.

Sido qoftë, zgjedhja është e dukshme në konfigurim, dhe ky është qëllimi. Një rënie e heshtur që negocion poshtë në një transformim të vjetër është më e keqe se një bllok i shprehur, sepse asnjë rishikim nuk do ta nxjerrë në pah.

Vërtetojeni, pastaj regjistroni

Rilidhuni dhe kontrolloni tre fakte të ndara në server: një propozim u zgjodh, lidhja shfaqet e vendosur dhe klienti mori një adresë. Një shtrëngim duarsh i vendosur pa adresë të largët tregon te pishina ose te përzgjedhësit e trafikut, dhe i takon një ndryshimi të vetin. Trajtimi i të dyjave së bashku e bën një negociatë të zgjidhur të duket e pazgjidhur.

Shkruani grupin e transformimeve që u pranua, kur e ndryshuat dhe cilën ndërtim të klientit verifikuat. Përditësimi i ardhshëm mund ta lëvizë përsëri kërkesën, dhe vlerat që funksionuan janë gjëja e parë që do të doni t'i keni pranë atyre të reja.