ملف تعريف IKEv2 على Mac: اضبط قاموسَي SA الاثنين ثم اختبر
ترث Child SA معاملات IKE عندما يكون ذلك القاموس غائبًا. املأ القاموسين، وترجم الأسماء، وتحقق مما تفاوض عليه الطرفان فعليًا.
الاتصال الناجح يثبت فقط أن الطرفين وجدا مجموعة قيم يقبلانها. يحمل ملف تعريف IKEv2 المُدار على Mac قاموسَي ارتباط أمني، وللبوابة قائمة مقترحاتها الخاصة، وينجح الاتصال عند أي تقاطع يسمح به الطرفان. نفّذ الفحوص أدناه بالترتيب، وتوقّف عند اختلاف الطرفين بدلًا من إضافة شيفرة أخرى لمعرفة إن كانت ستساعد. كل خطوة تستبعد طبقة مختلفة من ملف التعريف.
افحص القاموسين قبل تعديل أي قيمة
داخل إعدادات IKEv2 في حِزمة VPN، يصف IKESecurityAssociationParameters ارتباط IKE ويصف ChildSecurityAssociationParameters ارتباط Child SA. ينص مخطط Apple على أن معاملات IKE تنطبق أيضًا على Child SA عندما يكون القاموس الثاني غائبًا. هذا التوريث مريح، وهو أيضًا السبب في انتهاء ملف التعريف بقيم لم يخترها أحد عن قصد.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>اكتب الصفين في سجل النشر حتى عندما تتطابق القيم. يستطيع المراجع حينها أن يرى أن Child SA قد نُظر فيه بدل أن يُورَّث بالمصادفة، والتغيير اللاحق في صف لا يغيّر الآخر بصمت.
افحص معنى كل مفتاح قبل نسخ أي سلسلة
المفاتيح الأربعة ليست قابلة للتبادل مع سلسلة مقترح من منتج آخر. أسماء الخوارزميات خاصة بالتنفيذ، لذا ترجم المجموعة المختارة عبر الصياغة الموثقة لكل طرف بدلًا من لصق مقترح strongSwan في حقل Apple.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«استخدم أكبر رقم مجموعة» ليس طريقة اختيار. تُسمّي معرّفات المجموعات إنشاءات مختلفة، والرقم الأعلى لا يعني ببساطة نسخة أقوى من الشيء نفسه. اطلب من مالك البوابة اعتماد التركيبة الكاملة، لأن المجموعة صالحة أو غير صالحة ككل. الشيفرة المعتمدة مع مجموعة غير معتمدة هي مقترح غير معتمد، وسيفشل أو يعود بصمت إلى شيء لم يوثقه أي من الطرفين.
افحص حدود الإصدارات التي تحيل الخوارزميات القديمة إلى التقاعد
يقيّد مخطط حِزمة Apple خوارزميات DES و3DES وSHA1-96 وSHA1-160 ومجموعات Diffie-Hellman 1 و2 و5 بإصدارات macOS الأقدم من 26. قد يحمل ملف تعريف نُقل من نشر أقدم إحدى تلك القيم ويظل يتصل ببوابة قديمة، وهذه تحديدًا الحالة التي يخفي فيها إعداد عامل تاريخ تقاعد.
احصل على إصدارات Mac المدعومة وسياسة المقترحات التي تتبعها البوابة قبل بناء ملف التعريف. ثم اختر التقاطع وسجّل سبب استبعاد الخيارات المتبقية. ملاحظة تقول «البوابة لا تزال تقدم المجموعة 2 للعملاء القدامى» تساوي أكثر من قائمة شيفرات بلا تاريخ. ومن دون تلك الملاحظة لا يستطيع المراجع التالي التمييز بين استثناء متعمد وإغفال.
افحص المصادقة في سطر مستقل
الاتفاق على مقترح لا يصلح هوية خادم خاطئة. هوية البوابة والثقة بالشهادة وبيانات اعتماد المستخدم أو الجهاز قرارات منفصلة، ويمكن أن يفشل كل منها بينما تكون الخوارزميات متطابقة تمامًا. تغيير خوارزمية توقيع شهادة ليس الفعل نفسه الذي هو اختيار خوارزمية تشفير IKE، رغم أن كليهما يظهر في المراجعة نفسها.
أبقِ هوية الخادم المتوقعة بجوار المقترح في السجل. وعندما يفشل اتصال بعد تغيير شهادة، يخبر ذلك الاقتران الشخص التالي هل تحركت المفاوضة أولًا أم قرار الثقة.
انشر مراجعة واحدة وافحص ما تم التفاوض عليه
استخدم سير عمل التوزيع المدعوم في المؤسسة وسجّل معرّف ملف التعريف والمراجعة وإصدارات Mac المستهدفة وسياسة البوابة المطابقة. امنح الأجهزة التي يتعذر عليها الاتصال مسار استعادة موثقًا، وتجنب إنشاء ملف تعريف ثانٍ بالاسم نفسه لا يستطيع أحد إثبات ملكيته.
أثناء القبول، افحص الإعداد المثبت وارتباطات IKE وChild المتفاوض عليها عبر أدوات تشخيص معتمدة. ثم افرض تجديدًا مضبوطًا، لأن الاتصال الأول يثبت فقط أن التفاوض الأولي نجح؛ وغالبًا ما يظهر عدم تطابق العمر الافتراضي عند أول إعادة مفتاح، بعد وقت طويل من اعتماد النشر.
أبقِ المجموعة المقبولة مع سجل المراجعة. حينها يصبح لدى تحديث macOS التالي أو تغيير البوابة خط أساس للمقارنة بدلًا من ملف تعريف يصدف أنه يتصل اليوم.