Mac IKEv2-profiel: stel albei SA-woordeboeke in en toets dan
IKE-parameters word deur die Child SA geërf wanneer daardie woordeboek ontbreek. Vul albei in, vertaal die name en kontroleer wat die eweknieë werklik onderhandel het.
Suksesvolle verbinding bewys net dat albei kante 'n stel waardes gevind het wat hulle aanvaar. 'n Bestuurde Mac IKEv2-profiel dra twee veiligheidsassosiasie-woordeboeke, die gateway het sy eie voorstelllys, en die verbinding slaag op watter snypunt albei kante ook al toelaat. Werk die kontroles hieronder in volgorde deur, en stop waar die twee kante verskil eerder as om nog 'n sifer by te voeg om te sien of dit help. Elke stap sluit 'n ander laag van die profiel uit.
Kontroleer albei woordeboeke voordat jy 'n waarde wysig
Binne die VPN-lading se IKEv2-instellings beskryf IKESecurityAssociationParameters die IKE-assosiasie en ChildSecurityAssociationParameters beskryf die Child SA. Apple se skema sê dat die IKE-parameters ook op die Child SA van toepassing is wanneer die tweede woordeboek afwesig is. Daardie oorerwing is gerieflik, en dit is ook hoe 'n profiel waardes kry wat niemand doelbewus gekies het nie.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Skryf albei rye in die ontplooiingsrekord, selfs wanneer die waardes ooreenstem. 'n Hersiener kan dan sien dat die Child SA oorweeg is eerder as per ongeluk geërf, en 'n latere wysiging aan een ry verander nie die ander stilweg nie.
Kontroleer wat elke sleutel beteken voordat jy 'n string kopieer
Die vier sleutels is nie uitruilbaar met 'n voorstelstring van 'n ander produk nie. Die algoritmename is implementasiespesifiek, so vertaal die gekose stel deur elke kant se gedokumenteerde sintaksis eerder as om 'n strongSwan-voorstel in 'n Apple-veld te plak.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
“Gebruik die grootste groepsnommer” is nie 'n keusemetode nie. Groepsidentifiseerders dui verskillende konstruksies aan, en 'n hoër nommer beteken nie bloot 'n sterker weergawe van dieselfde ding nie. Laat die eienaar van die gateway die volledige kombinasie goedkeur, want 'n stel is as geheel geldig of ongeldig. 'n Goedgekeurde sifer met 'n nie-goedgekeurde groep is 'n nie-goedgekeurde voorstel, en dit sal óf misluk óf stilweg terugval op iets wat nie een kant gedokumenteer het nie.
Kontroleer die weergawebeperkings wat ou algoritmes uitfaseer
Die Apple-ladingskema beperk DES, 3DES, SHA1-96, SHA1-160 en Diffie-Hellman-groepe 1, 2 en 5 tot macOS-weergawes voor 26. 'n Profiel wat uit 'n ouer ontplooiing oorgedra is, kan steeds een van daardie waardes bevat en steeds aan 'n ou gateway koppel, en dit is juis die geval waar 'n werkende konfigurasie 'n aftreedatum verberg.
Kry die ondersteunde Mac-weergawes en die gateway se onderhoude voorstelbeleid voordat jy die profiel bou. Kies dan die snypunt en teken aan waarom die oorblywende opsies uitgesluit is. 'n Nota wat sê “die gateway bied steeds groep 2 vir legacy-kliënte” is meer werd as 'n siferlys sonder geskiedenis. Sonder daardie nota kan die volgende hersiener nie 'n doelbewuste uitsondering van 'n versuim onderskei nie.
Kontroleer outentisering op sy eie reël
Ooreenkoms oor 'n voorstel herstel nie 'n verkeerde bedieneridentiteit nie. Gateway-identiteit, sertifikaatvertroue en die gebruiker- of toestelgeloofsbriewe is aparte besluite, en elkeen kan misluk terwyl die algoritmes volkome in lyn is. Om 'n sertifikaat se handtekeningsalgoritme te verander is nie dieselfde daad as om die IKE-versiferingsalgoritme te kies nie, selfs al verskyn albei in dieselfde hersiening.
Hou die verwagte bedieneridentiteit langs die voorstel in die rekord. Wanneer 'n verbinding ná 'n sertifikaatverandering misluk, sê daardie paring vir die volgende persoon of die onderhandeling of die vertrouebesluit eerste beweeg het.
Ontplooi een weergawe en ondersoek wat onderhandel is
Gebruik die organisasie se ondersteunde verspreidingswerkvloei en teken die profielidentifiseerder, die weergawe, die teiken-Mac-weergawes en die ooreenstemmende gatewaybeleid aan. Gee toestelle wat nie kan koppel nie 'n gedokumenteerde herstelpad, en vermy die skepping van 'n tweede profiel met dieselfde naam waarvan niemand die eienaarskap kan vasstel nie.
Tydens aanvaarding, ondersoek die geïnstalleerde konfigurasie en die onderhandelde IKE- en Child-assosiasies deur goedgekeurde diagnostiek. Forseer dan 'n beheerde hernuwing, want die eerste verbinding bewys net dat die aanvanklike onderhandeling gewerk het; 'n leeftydwanverhouding verskyn gewoonlik by die eerste hersleuteling, lank nadat die ontplooiing goedgekeur is.
Hou die aanvaarde stel by die weergawerekord. Die volgende macOS-opdatering of gatewayverandering het dan 'n basislyn om teen te vergelyk in plaas van 'n profiel wat bloot toevallig vandag koppel.