iOS strongSwan tunnelingizni rad etdi: IKE takliflarini solishtiring

Sertifikat yoki manzilda hech narsa o'tgan yil strongSwan'ga ulanadigan iPhone bu yil nima uchun muvaffaqiyatsiz bo'layotganini tushuntirmaydi. Manzil, oldindan bo'lishilgan kalit yoki mijoz identifikatorida hech narsa o'zgarishi shart emas edi. O'zgargan narsa telefonning o'rnatilgan mijozi muzokara qilishga tayyor bo'lgan transformatsiyalar ro'yxati bo'lib, bu ro'yxat server ro'yxati bilan kesishmay qo'yishi bilan almashinuv kimningdir identifikatori tekshirilishidan oldin tugaydi.

Hal qiluvchi jurnal satri

O'sha ulanish uchun jurnal darajasini oshiring va natijani hal qiladigan ikki yozuvni toping: telefon nima taklif qildi va server nima tanladi. Agar jurnal tanlangan taklifsiz tugasa va hech narsa mos kelmaganini bildirsa, autentifikatsiya umuman sinab ko'rilmagan. Yangi sertifikat va yangi parol o'sha nuqtada hech narsani o'zgartirmaydi, chunki ikkalasi ham keyingi bosqichda ishlatiladi. Ikkalasi ham identifikator tekshirilishidan oldin hal qilingan natijaga ta'sir qila olmaydi.

Biror narsani tahrirlashdan oldin muvaffaqiyatsizlikning ikki shaklini ajrating. Transformatsiyalarni tahrirlash rad etilgan hisob ma'lumotlarini qutqarmaydi, hisob ma'lumotlarini tuzatish esa rad etilgan transformatsiyani qutqarmaydi. Tanlangan taklifni nomlaydigan jurnal yozuvi siz ikki holatdan qaysi birida ekaningizni aytadi. O'sha yozuvsiz siz taxmin qilasiz.

Tanlangan satr taklifni do'stona yorliq bilan emas, transformatsiyalar to'plami bilan nomlaydi. Shifrlash, yaxlitlik va guruh maydonlarini solishtiring o'sha satrda telefon yuborgan ro'yxat bilan, chunki bitta maydondagi farq yutqazish uchun yetarli.

Telefonda nima o'zgardi

Bitta iOS nashri mijozi foydalanishga tayyor bo'lgan algoritmlarni qisqartirdi. Zaif yaxlitlik xeshlari, kichik Diffie-Hellman guruhlari va eski variantlarni birinchi sanaydigan takliflar endi qabul qilinmaydi.

Bu yerda uzun ro'yxatlar xavfsizroq emas. Tanlov telefonning qabul qilingan to'plami va o'z ustuvorlik tartibiga amal qiladi, shuning uchun keng katalog e'lon qilgan server ham zamonaviy yozuvlar tanlanmaganida muzokarada yutqazishi mumkin. Zamonaviy yozuvlar oldinda bo'lgan qisqa ro'yxatni afzal ko'ring. Eski variantlar bilan boshlanadigan uzun ro'yxat siz qochmoqchi bo'lgan muvaffaqiyatsizlikni taklif qiladi. Qabul qilingan to'plam tashqi cheklov bo'lib, mijoz har yangilanganda siljiydi, shuning uchun kecha ishlagan konfiguratsiya kecha haqidagi dalildir.

Hali ham kelishadigan bir juftlik

Hozirgi telefonlar uchun bitta zamonaviy kombinatsiya yetarli. Kelishadigan bir juftlik shunday ko'rinadi:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike satri kalit almashinuvi davom etayotganda ishlatiladigan shifrlash, yaxlitlik va Diffie-Hellman guruhini olib yuradi. esp satri faqat ma'lumot kanalini qamrab oladi, chunki guruh u amal qilishidan oldin belgilangan. Ulanishni qayta yuklang yoki demonni qayta ishga tushiring, so'ng telefonni qayta ulang. Bu guruh qiymatini faqat xizmat ko'rsatadigan har bir mijoz hali ham qabul qilsa saqlang va bitta eski hamkor ko'proq narsa talab qilgani uchun taklifni hamma uchun kengaytirmang.

Tuzatish uchun uch joy, bittasi odatda yopiq

• Har bir hamkor uchun bitta zamonaviy taklif. Barcha mijozlar hozirgi telefon va ish stollari bo'lsa to'g'ri. Eski transformatsiyalarni atrofida muzokara qilish o'rniga o'chiradi.
• Apple mijozlari uchun ikkinchi ulanish ta'rifi. Bitta eski hamkorni tirik saqlaydi va telefonga u qabul qiladigan taklif beradi. Bu yana bitta ulanish blokini talab qiladi va istisno ko'rinadigan bo'ladi.
• Mijozni almashtirish. Sizga kamdan-kam ochiq: boshqaruv tizimi yoki ilova profilni yetkazganda, tegadigan taklif muharriri bo'lmaydi va o'rnatilgan mijoz bunday narsani ko'rsatmaydi.

Nazoratingizdan tashqaridagi qurilmani yangilash iloji bo'lmasa, ikkinchi variantni tanlang. Eski hamkorni iste'foga chiqara olsangiz va bitta siyosat yuritishni afzal ko'rsangiz, birinchisini tanlang.

Qanday bo'lmasin, tanlov konfiguratsiyada ko'rinadi va gap shunda. Eski transformatsiyagacha kelishib tushadigan jim qaytish aniq blokdan yomonroq, chunki hech qanday ko'rik uni hech qachon yuzaga chiqarmaydi.

Buni isbotlang, keyin yozib qo'ying

Qayta ulanib, serverda uchta alohida faktni tekshiring: taklif tanlandi, ulanish o'rnatilgan ko'rinadi va mijoz manzil oldi. Masofaviy manzilsiz o'rnatilgan qo'l siqish hovuz yoki trafik selektorlariga ishora qiladi va u alohida o'zgarishga tegishli. Ikkalasini birga ko'rib chiqish hal qilingan muzokarani hal qilinmagandek ko'rsatadi.

Qabul qilingan transformatsiyalar to'plamini, qachon o'zgartirganingizni va qaysi mijoz buildini tekshirganingizni yozing. Keyingi yangilanish talabni yana siljitishi mumkin, va ishlagan qiymatlar yangilari yonida birinchi kerak bo'ladigan narsadir.