Зашто IKEv2 на Android-у не ради на нестандардном UDP порту

Изворни IKEv2 образац прихвата адресу, а не порт. Проверите да ли га клијент подржава, поставите оба порта сервера, па погледајте уоквиривање и записе.

Пролаз одговара на IKEv2 на UDP 4443 с разлогом, профил има поље означено са Server, упишете име хоста и порт, а телефон јавља да не може да дође до сервера или да не може да разреши адресу. Ништа се не блокира. Изворни образац на Android-у очекује хост, и исто важи на Windows-у. Прилагођени порт је могућност клијента пре него поставка сервера, и само га неки клијенти допуштају изразити. Прођите кроз три дела по реду: шта клијент може рећи, на шта сервер слуша и да ли оба краја уоквирују пакете на исти начин.

Шта је телефон заправо послао

Низ host:port у пољу намењеном имену разрешава се као име. Разрешивач не враћа ништа за vpn.example.net:4443, а грешка коју видите је неуспех разрешавања имена или недоступности, а не истек времена на порту. Та разлика је важна, јер поновни покушај са краћим именом или другом мрежом никада неће поправити низ који образац не може да рашчлани.

Изворни IKEv2 профил на Android-у, као и уграђени Windows VPN клијент, фиксиран је на стандардне IKE портове. Ниједан не излаже поље порта, и никакво уређивање профила га не додаје. Ако је оператеров слушалац заиста на 4443, уграђени клијент је погрешан алат, а не погрешно конфигуриран.

Користите клијент који излаже порт

strongSwan-ов Android клијент документује конфигурабилни серверски порт у напредним поставкама профила, зато се појављује у готово сваком радном рецепту за овај дизајн. Та подршка припада том клијенту: друга IKEv2 апликација, или добављачки огранак исте апликације, можда не излаже исто поље иако га основни strongSwan демон подржава.

Затражите од оператера цео скуп одједном: име пролаза, UDP порт, метод провере идентитета и идентитет сервера који клијент мора да очекује. Прилагођени порт није разлог да искључите проверу сертификата или промените протоколе. Упишите порт тамо где га инсталирани клијент очекује, а ако тај клијент нема такво поље, одговор је други одобрени клијент, а не нагађана заобилазница.

Сервер има два порта и оба морају да се подударају

IKE почиње на UDP 500, а NAT пролаз обично премешта IKE и инкапсулирани ESP на UDP 4500. То су одвојене поставке у strongSwan-у, па сервер премештен на један прилагођени порт мора оба да промени на исту вредност:

plugins {
  socket-default {
    port = 4443
    port_nat_t = 4443
  }
}

Са једним портом за обе улоге, демон мора да разликује IKE од ESP-in-UDP на истом сокету, што чини помоћу четворобајтног маркера који није ESP и претходи IKE поруци. Зато клијент не може да преговара на прилагођеном порту и затим тихо настави на 4500, и зато фраза „само промените порт“ крије захтев за уоквиривањем.

Прослеђивање није слушалац

Прослеђивање 4443 на обичан IKE слушалац је начин неуспеха који изгледа готово успешно. Прва размена стигне, сервер одговори, а веза затим стане или обнови кључеве у ништа, јер одговор излази са другог порта и каснији инкапсулирани саобраћај никада не одговара стању које су оба краја створила. Правило које преписује одредишни порт без премештања слушаоца даје тачно овај полуотворени резултат.

Пут такође мора да дозволи UDP од краја до краја. Пролазак TCP 443 кроз хотелску или мобилну мрежу не говори ништа о IKEv2 на UDP порту, чак и са истим бројем. Где је дозвољен само TCP 443, прилагођени UDP порт не претвара IKEv2 у HTTPS, а тачан одговор може бити други пут приступа, а не још један покушај са портом.

Раздвојите три фазе при тестирању

Снимајте на серверу док клијент покуша једном. Захтев који никада не стигне питање је крајње тачке или заштитног зида; захтев који стигне без одговора питање је слушаоца или правила; одговор после којег следи тишина питање је уоквиривања или идентитета.

tcpdump -ni eth0 -vv udp port 4443

Затим читајте поруку клијента, а не његов вртећи показатељ. Грешка у предлогу значи да се алгоритми не слажу, грешка провере идентитета значи да се идентитети или сертификати не слажу, а поновљена слања без одговора значе да на том порту ништа не одговара. Тестирајте једну фазу по пут и мењајте једно поље између покушаја; strongSwan документација о NAT пролазу описује маркер и понашање порта које вам снимак показује.

Повезани чланци