iOS IKEv2 papuntang strongSwan: walang napiling panukala, ayusin ang listahan

Itinataas ng iPhone ang tunnel, walang sinasagot ang gateway, at nagpapakita ang telepono ng pangkalahatang pagkabigo. Mas tiyak ang log ng strongSwan: no proposal chosen. Ang ibig sabihin ng mensaheng iyon ay hindi kailanman nagsanib ang dalawang listahan ng mga katanggap-tanggap na cipher suite, kaya natapos ang palitan bago pa magsimula ang pagpapatunay. Problema ito sa pagtutugma, at ang solusyon ay gawing nagsasalubong ang mga listahan.

Kung saan ipinapahayag ng gateway ang patakaran nito

Isinusulat ng strongSwan ang patakaran nito sa configuration, at ang tandang padamdam sa dulo ang nagpapasya kung paano babasahin ang patakarang iyon. Kapag may tanda, kumpleto ang listahan: ang mga entry na iyon lang ang tatanggapin at wala nang iba. Kapag wala, ang parehong linya ay isang pagkakasunod-sunod ng kagustuhan, at maaaring pumili ang daemon ng hindi mo sinadya. Itanong kung aling anyo ang naka-deploy bago ka magsalin ng anuman, dahil magkaiba ang pag-uugali ng dalawa sa parehong client. Itala ang eksaktong linya, kasama ang tanda, at subukan laban doon.

Ang client na nag-aalok ng mas malawak na listahan ay makakakonekta pa rin sa naka-pin na gateway, hangga't may isang kombinasyon sa magkabilang panig. Ang hindi maaaring mangyari ay ang pakikipag-ayos sa labas ng naka-pin na set.

Kaya naman isang profile na kinopya mula sa ibang VPN app ay maaaring gumana kung saan hindi gumagana ang sa iyo: ibang listahan ang ipinadala ng app na iyon.

Dapat magtugma ang mga pangalan, hindi bumuti

Dalawang salin ang nagpapalito sa mga naglilipat ng halaga mula strongSwan papuntang iOS. Ang algorithm ng integridad na nakasulat na SHA1 sa isang panukalang IKE ay naglalakbay sa pinutol nitong anyo, na tinatawag ng iOS na .SHA96. Ang grupong Diffie-Hellman na nakasulat na modp1024 ay grupo 2, na tinatawag ng iOS na .group2. Ang pagpapalit sa SHA-256 o grupo 14 ay hindi makikipag-ayos sa gateway na tumatanggap lamang ng lumang pares. Dapat ilarawan ng client ang parehong algorithm, hindi isang mas malakas.

Itakda ang mga halagang iyon nang tahasan sa NEVPNProtocolIKEv2. Ang mga default ay maaaring mas malawak o mas makitid kaysa sa profile na pinapalitan mo, at lumalabas lamang ang pagkakaiba kapag nabigo ang handshake.

Nabibigo ang panukalang anak nang mas huli at mas tahimik

I-configure din ang security association ng anak, hindi lamang ang sa IKE. Kapag ang mga parameter ng IKE lang ang tugma, nagpapatunay ang tunnel at pagkatapos ay walang dalang trapiko, na mas tahimik na pagkabigo kaysa sa pagtanggi. Itakda ang encryption, integridad, grupo at habang-buhay ng anak sa isang hakbang. Panatilihin ang habang-buhay ng client na katumbas o mas mababa sa halaga ng gateway, dahil ang pagpilit ng mas mahaba ay nagbubunga ng parehong no proposal chosen na mensahe mula sa ibang dahilan. Ang hindi pagtutugma doon ay mukhang kapareho ng hindi pagtutugma ng IKE sa log.

Suriin kung ang profile ay nagpapatunay gamit ang mga sertipiko o isang pinagsasaluhang lihim habang nasa configuration ka. Ang pagtanggi sa panukala at ang pagtanggi sa pagpapatunay ay lumalabas sa magkaibang linya, at ang pag-aayos ng mali ay nagkakahalaga ng isang araw. Subukan gamit ang bagong koneksyon pagkatapos ng bawat pagbabago, isang variable sa isang pagkakataon, dahil itinatago ng naka-cache na estado kung aling parameter ang gumalaw.

Iwanan ang lumang suite hangga't kailangan lamang

Ang pag-pin ng SHA-1 sa isang 1024-bit na grupo ay tulay, hindi destinasyon. Pareho silang deprecated, at maaaring tanggihan nang tuluyan ng mas bagong client, na nangangahulugang mabibigo ang profile sa susunod na device nang walang anumang pagbabago sa panig mo. Ituring na pansamantala ang pin at sabihin iyon sa talaan.

Kung sa iyo ang strongSwan, magdagdag ng modernong panukala at hayaang mag-ayos ang magkabilang dulo pataas habang nananatili ang lumang entry para sa mas lumang device. Basahin ang status output ng daemon upang makita kung aling suite ang aktwal na ginamit ng bawat koneksyon. Pagkatapos ay alisin ang pin sa panig ng client kapag nakumpirma na ang modernong pares. Ang tunnel na tumataas ay hindi sapat na ebidensya, dahil maaari itong tumaas sa suite na sinusubukan mong iretiro. Inilalarawan ng dokumentasyon ng strongSwan para sa IKEv2 ang sintaks ng panukala at ang strict marker.