iOS IKEv2 dan strongSwan gacha: hech qanday taklif tanlanmadi, ro'yxatni tuzating

iPhone tunnelni ko'taradi, shlyuz hech narsa bilan javob bermaydi va telefon umumiy xatoni ko'rsatadi. strongSwan jurnali aniqroq: no proposal chosen. Bu xabar qabul qilinadigan shifr to'plamlari ro'yxatlari hech qachon ustma-ust tushmaganini, shuning uchun almashinuv autentifikatsiya boshlanishidan oldin tugaganini bildiradi. Bu moslashtirish muammosi va yechim ro'yxatlarni kesishishga majbur qilishdir.

Shlyuz o'z siyosatini qayerda e'lon qiladi

strongSwan o'z siyosatini konfiguratsiyaga yozadi va oxiridagi undov belgisi bu siyosat qanday o'qilishini hal qiladi. Belgi bilan ro'yxat to'liq: faqat o'sha yozuvlar qabul qilinadi, boshqa hech narsa emas. Belgisiz o'sha satr afzallik tartibi bo'ladi va demon siz o'ylamagan narsani tanlashi mumkin. Biror narsani tarjima qilishdan oldin qaysi shakl o'rnatilganini so'rang, chunki ikkalasi bir xil mijozga boshqacha munosabatda bo'ladi. Belgi bilan birga aniq satrni yozib oling va o'shanga qarshi sinab ko'ring.

Kengroq ro'yxat taklif qiladigan mijoz ham qulflangan shlyuzga ulanishi mumkin, agar ikkala tomonda kamida bitta kombinatsiya bo'lsa. Bo'lishi mumkin bo'lmagan narsa qulflangan to'plamdan tashqarida muzokara.

Shuning uchun boshqa VPN ilovasidan ko'chirilgan profil sizniki ishlamaydigan joyda ishlashi mumkin: o'sha ilova boshqa ro'yxat yuborgan.

Nomlar mos kelishi kerak, yaxshilanishi emas

strongSwan qiymatlarini iOS ga ko'chiruvchilarni ikki tarjima chalg'itadi. IKE taklifida SHA1 deb yozilgan yaxlitlik algoritmi o'zining qisqartirilgan shaklida boradi, iOS uni .SHA96 deb ataydi. modp1024 deb yozilgan Diffie-Hellman guruhi guruh 2, iOS uni .group2 deb ataydi. SHA-256 yoki guruh 14 bilan almashtirish faqat eski juftlikni qabul qiladigan shlyuz bilan muzokara qilmaydi. Mijoz kuchliroq emas, o'sha algoritmni tavsiflashi kerak.

Bu qiymatlarni NEVPNProtocolIKEv2 ichida aniq belgilang. Standart qiymatlar almashtirilayotgan profildan kengroq yoki torroq bo'lishi mumkin va farq faqat qo'l siqish muvaffaqiyatsiz bo'lganda ko'rinadi.

Bola taklifi keyinroq va jimgina muvaffaqiyatsiz bo'ladi

Faqat IKE emas, bola xavfsizlik assotsiatsiyasini ham sozlang. Faqat IKE parametrlari mos kelsa, tunnel autentifikatsiyadan o'tadi va keyin trafik tashimaydi, bu rad etishdan ancha jim nosozlik. Bolaning shifrlash, yaxlitlik, guruh va umrini bir qadamda belgilang. Mijoz umrini shlyuz qiymatida yoki undan pastda saqlang, chunki uzoqroqni talab qilish boshqa sababdan o'sha no proposal chosen xabarini beradi. U yerdagi nomuvofiqlik jurnaldagi IKE nomuvofiqligi kabi ko'rinadi.

Konfiguratsiyada bo'lganingizda profil sertifikatlar yoki umumiy sir bilan autentifikatsiya qiladimi, tekshiring. Taklif rad etilishi va autentifikatsiya rad etilishi turli satrlarda chiqadi va noto'g'risini tuzatish bir kunga tushadi. Har o'zgarishdan keyin yangi ulanish bilan sinab ko'ring, bir vaqtda bitta o'zgaruvchi, chunki keshdagi holat qaysi parametr siljiganini yashiradi.

Eski to'plamni faqat zarur bo'lguncha qoldiring

SHA-1 ni 1024 bitli guruh bilan qulflash ko'prik, manzil emas. Ikkalasi ham eskirgan va yangi mijozlar ularni butunlay rad etishi mumkin, ya'ni siz tomondan hech qanday o'zgarishsiz profil keyingi qurilmada ishlamaydi. Qulflashni vaqtinchalik deb hisoblang va buni yozuvda yozing.

Agar strongSwan sizniki bo'lsa, zamonaviy taklif qo'shing va eski yozuv eski qurilmalar uchun qolayotganda ikkala tomon yuqoriga muzokara qilsin. Har bir ulanish aslida qaysi to'plamni ishlatganini ko'rish uchun demonning holat chiqishini o'qing. Keyin zamonaviy juftlik tasdiqlangach, mijoz tomonidagi qulflashni olib tashlang. Tunnelning ko'tarilishi yetarli dalil emas, chunki u siz bekor qilmoqchi bo'lgan to'plamda ham ko'tarilishi mumkin. strongSwan IKEv2 hujjatlari taklif sintaksisi va strict belgisini tavsiflaydi.