iOS strongSwan tünelinizi reddetti: IKE önerilerini karşılaştırın

Çalışan bir adres ve geçerli bir sertifika yine de müzakereyi kaybedebilir. ike ve esp satırlarını telefonun kabul ettiğiyle karşılaştırın.

Sertifikada ya da adreste hiçbir şey, geçen yıl strongSwan'a bağlanan bir iPhone'un bu yıl neden başarısız olduğunu açıklamıyor. Adreste, önceden paylaşılan anahtarda veya istemci kimliğinde hiçbir şeyin değişmesi gerekmiyordu. Değişen şey, telefonun yerleşik istemcisinin müzakere etmeye razı olduğu dönüşümler listesi ve bu liste sunucununkiyle örtüşmeyi bıraktığında, kimsenin kimliği incelenmeden önce değişim sona eriyor.

Kararı veren log satırı

O bağlantı için günlük düzeyini yükseltin ve sonucu belirleyen iki girdiyi bulun: telefonun ne önerdiği ve sunucunun neyi seçtiği. Günlük seçilmiş bir öneri olmadan bitiyor ve hiçbir şeyin eşleşmediğini bildiriyorsa, kimlik doğrulama hiç denenmemiştir. Yeni bir sertifika ve yeni bir parola o noktada hiçbir şeyi değiştirmez, çünkü ikisi de daha sonraki bir aşamada tüketilir. Hiçbiri, kimlik incelenmeden önce karara bağlanmış bir sonucu etkileyemez.

Herhangi bir düzenleme yapmadan önce iki arıza biçimini ayırın. Dönüşümlerde yapılan hiçbir düzenleme reddedilmiş kimlik bilgilerini kurtarmaz ve kimlik bilgilerindeki hiçbir düzeltme reddedilmiş bir dönüşümü kurtarmaz. Seçilmiş bir öneriyi adlandıran günlük girdisi, iki durumdan hangisinde olduğunuzu söyler. O girdi olmadan tahmin ediyorsunuz.

Seçilen satır öneriyi dostça bir etiketle değil, dönüşüm kümesiyle adlandırır. Şifreleme, bütünlük ve grup alanlarını karşılaştırın o satırda telefonun gönderdiği listeyle, çünkü herhangi bir alandaki uyuşmazlık kaybetmeye yeter.

Telefonda ne değişti

Bir iOS sürümü, istemcisinin kullanmaya razı olduğu algoritmaları kırptı. Zayıf bütünlük karmaları, küçük Diffie-Hellman grupları ve eski seçenekleri ilk sıraya koyan öneriler artık kabul edilebilir değil.

Burada daha uzun listeler daha güvenli değil. Seçim, telefonun kabul ettiği kümeyi ve kendi tercih sırasını izler, bu yüzden geniş bir katalog duyuran bir sunucu da modern girdiler seçilenler olmadığında müzakeroyu kaybedebilir. Modern girdileri başa alan kısa bir listeyi tercih edin. Eski seçeneklerle açılan uzun bir liste, tam da kaçınmaya çalıştığınız arızayı davet eder. Kabul edilen küme, istemci her güncellendiğinde kayan dışsal bir kısıttır, bu yüzden dün çalışan bir yapılandırma dün hakkında kanıttır.

Hâlâ anlaşan bir çift

Güncel telefonlar için tek bir modern bileşim yeterli. Anlaşan bir çift şöyle görünür:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike satırı, anahtar değişimi sürerken kullanılan şifrelemeyi, bütünlüğü ve Diffie-Hellman grubunu taşır. esp satırı yalnızca veri kanalını kapsar, çünkü grup o geçerli olmadan önce belirlenmiştir. Bağlantıyı yeniden yükleyin veya servisi yeniden başlatın, sonra telefonu yeniden bağlayın. O grup değerini yalnızca hizmet verdiğiniz her istemci hâlâ kabul ediyorsa koruyun ve bir eski eş daha fazlasına ihtiyaç duyuyor diye öneriyi herkes için genişletmeyin.

Düzeltmek için üç yer, biri genellikle kapalıdır

  • Her eş için bir modern öneri. Tüm istemciler güncel telefon ve masaüstüyse doğru. Eski dönüşümleri etraflarında müzakere etmek yerine siler.
  • Apple istemcileri için ikinci bağlantı tanımı. Bir eski eşi canlı tutar ve telefona kabul edeceği bir öneri verir. Bir bağlantı bloğu daha maliyetlidir ve istisnayı görünür kılar.
  • İstemciyi değiştirmek. Size nadiren açıktır: bir yönetim sistemi veya uygulama profili dağıttığında dokunulacak bir öneri düzenleyicisi yoktur ve yerleşik istemci böyle bir şey sunmaz.

Denetiminiz dışındaki bir aygıt güncellenemiyorsa ikinci seçeneği seçin. Eski eşi emekliye ayırabiliyor ve tek bir politika taşımayı tercih ediyorsanız birinciyi seçin.

Her iki durumda da seçim yapılandırmada görünür ve mesele de bu. Eski bir dönüşüme kadar aşağıya müzakere eden sessiz bir geri dönüş, açık bir bloktan daha kötüdür, çünkü hiçbir inceleme onu asla ortaya çıkarmaz.

Kanıtlayın, sonra kaydedin

Yeniden bağlanın ve sunucuda üç ayrı olguyu kontrol edin: bir öneri seçildi, bağlantı kurulmuş görünüyor ve istemci bir adres aldı. Uzak adresi olmayan kurulmuş bir el sıkışma havuza veya trafik seçicilerine işaret eder ve ayrı bir değişikliğe aittir. İkisini birlikte ele almak, çözülmüş bir müzakeroyu çözülmemiş gibi gösterir.

Kabul edilen dönüşüm kümesini, ne zaman değiştirdiğinizi ve hangi istemci derlemesini doğruladığınızı yazın. Sonraki güncelleme gereksinimi yine kaydırabilir ve işe yarayan değerler yeni olanların yanında ilk isteyeceğiniz şeydir.

İlgili makaleler