iOS је одбио ваш strongSwan тунел: упоредите IKE предлоге

Ништа у сертификату или адреси не објашњава зашто iPhone који се лане повезао на strongSwan ове године не успева. Ништа у вези са адресом, унапред дељеним кључем или идентитетом клијента није морало да се промени. Померила се листа трансформација које је уграђени клијент телефона спреман да преговара, и када се та листа више не преклапа са серверовом, размена се завршава пре него што се испита било чији идентитет.

Линија дневника која то одлучује

Појачајте евидентирање за ту везу и пронађите два уноса која одлучују исход: шта је телефон понудио и шта је сервер изабрао. Ако се дневник заврши без изабраног предлога и пријави да се ништа није поклопило, провера идентитета није ни покушана. Нов сертификат и нова лозинка не мењају ништа у том тренутку, јер се обоје троше у каснијој фази. Ниједно не може утицати на исход који је одлучен пре него што је идентитет испитан.

Држите два облика отказа одвојено пре него што било шта уредите. Никаква измена трансформације не спасава одбијени акредитив, а никакво поправљање акредитива не спасава одбијену трансформацију. Унос у дневнику који именује изабрани предлог каже вам у ком од два случаја сте. Без тог уноса нагађате.

Изабрана линија именује предлог по његовом скупу трансформација, а не по пријатељској ознаци. Упоредите поља шифровања, интегритета и групе у тој линији са листом коју је телефон послао, јер је неподударање у једном пољу довољно да се изгубе преговори.

Шта се променило на телефону

Једно iOS издање је скратило алгоритме које је његов клијент спреман да користи. Слаби хешеви интегритета, мале Diffie-Hellman групе и предлози који прво наводе застареле опције престали су да буду прихватљиви.

Дуже листе овде нису сигурније. Избор прати скуп који телефон прихвата и његов сопствени редослед, тако да сервер који оглашава широк каталог ипак може изгубити преговоре када савремени уноси нису они који се бирају. Радије користите кратку листу са савременим уносима на почетку. Дуга листа која почиње застарелим опцијама позива управо онај отказ који покушавате да избегнете. Прихваћени скуп је спољно ограничење које се помера са сваким ажурирањем клијента, зато је јучерашња конфигурација која је радила доказ о јуче.

Један пар који још преговара

За савремене телефоне довољна је једна савремена комбинација. Један пар који преговара изгледа овако:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

Линија ike носи шифровање, интегритет и Diffie-Hellman групу који се користе док размена кључева траје. Линија esp покрива само канал података, јер је група одређена пре него што се примени. Поново учитајте везу или поново покрените демон, а затим поново повежите телефон. Задржите ту вредност групе само ако је сваки клијент коме служите још прихвата, и не проширујте предлог за све зато што један стари peer тражи више.

Три места за поправку, једно је обично затворено

• Један савремени предлог за сваки peer. Исправно када су сви клијенти савремени телефони и рачунари. Брише старе трансформације уместо да преговара око њих.
• Друга дефиниција везе за Apple клијенте. Држи једног старог peera у животу док телефону даје предлог који прихвата. Кошта још један блок везе и чини изузетак видљивим.
• Промена клијента. Ретко вам је доступна: када систем управљања или апликација испоручује профил, нема уређивача предлога, а уграђени клијент га не излаже.

Другу опцију изаберите када се уређај ван ваше контроле не може ажурирати. Прву изаберите када можете да повучете стари peer и радије носите једну политику.

У сваком случају, избор је видљив у конфигурацији, и то је поента. Тихо враћање на стару трансформацију горе је од изричитог блока, јер га ниједан преглед неће изнети на видело.

Докажите, затим запишите

Поново се повежите и на серверу проверите три одвојене чињенице: предлог је изабран, веза показује успостављену и клијент је добио адресу. Успостављено руковање без удаљене адресе указује на базен или селекторе саобраћаја, и припада засебној измени. Заједничко третирање то двоје чини решене преговоре нерешеним.

Запишите скуп трансформација који је прихваћен, када сте га променили и коју верзију клијента сте верификовали. Следеће ажурирање може поново померити захтев, а вредности које су радиле су прво што ћете пожелети поред нових.