Bm
Проблемы у некоторых провайдеров были просто тоннель не строился зависал на phase 1
Size: a a a
2020 July 07
Bm
на ecdsa перешёл и все решилось
Bm
правда виндовые клиенты оче костыльно через скрипт)
AU
значит, у провайдеров какие-то железяки стоят, которые ломают твои ipsec пакеты, или пытаются влезть туда, когда видят rsa. а ecdsa не понимают и пропускают.
Bm
значит, у провайдеров какие-то железяки стоят, которые ломают твои ipsec пакеты, или пытаются влезть туда, когда видят rsa. а ecdsa не понимают и пропускают.
Я с одним проблемным провом связывался он говорит у меня шлюз на чистой линухе, нет железа
Bm
значит, у провайдеров какие-то железяки стоят, которые ломают твои ipsec пакеты, или пытаются влезть туда, когда видят rsa. а ecdsa не понимают и пропускают.
видимо да так и есть
Bm
но вот l2tp + ipsec у него работают
Bm
ike1
AU
видимо да так и есть
или просто не могут обработать rsa сертификаты нормально, ибо в один пакет rsa сертификат не влезет. а ecdsa сертификаты не такие длинные, в 1500 байт войдёт.
Bm
или просто не могут обработать rsa сертификаты нормально, ибо в один пакет rsa сертификат не влезет. а ecdsa сертификаты не такие длинные, в 1500 байт войдёт.
вот вот фрагментирует
Bm
только чтобы это понять я себе изрядно мозг трахнул, я ипсек совсем недавно трогал)
AU
только чтобы это понять я себе изрядно мозг трахнул, я ипсек совсем недавно трогал)
значит, если бы ты делал rsa 1024 байта ключ, оно бы работало?
Bm
Bm
значит, если бы ты делал rsa 1024 байта ключ, оно бы работало?
не-а, не работало даже с 1024, но и это уже не секурно ведь
Bm
prime256v1 работал
Bm
он самый мелкий по размер, вроде 136~ байт
AU
да, не секурно. просто некоторые железяки у клиентов больше не тянут, потому такой тип туннеля и пришлось делать. заапгрейдят - поднимем фазу 1 на более секурную.
Bm
Bm
да, не секурно. просто некоторые железяки у клиентов больше не тянут, потому такой тип туннеля и пришлось делать. заапгрейдят - поднимем фазу 1 на более секурную.
у вас 1024 rsa?
AU
есть один клиент такой. но там включен pfs и ключ меняется каждый час. думаю, проживём ;)