Mac IKEv2 profili: hər iki SA lüğətini təyin edin, sonra sınayın

Uğurlu qoşulma yalnız hər iki tərəfin qəbul etdiyi dəyərlər toplusunu tapdığını sübut edir. İdarə olunan Mac IKEv2 profili iki təhlükəsizlik assosiasiyası lüğəti daşıyır, şlüzün öz təklif siyahısı var və qoşulma hər iki tərəfin icazə verdiyi kəsişmədə uğurlu olur. Aşağıdakı yoxlamaları ardıcıllıqla işlədin və kömək edib-etmədiyini görmək üçün başqa şifr əlavə etmək əvəzinə tərəflərin fərqləndiyi yerdə dayanın. Hər addım profilin fərqli qatını istisna edir.

Dəyəri redaktə etməzdən əvvəl hər iki lüğəti yoxlayın

VPN yükünün IKEv2 parametrləri daxilində IKESecurityAssociationParameters IKE assosiasiyasını, ChildSecurityAssociationParameters isə Child SA-nı təsvir edir. Apple sxemi bildirir ki, ikinci lüğət olmadıqda IKE parametrləri Child SA-ya da tətbiq olunur. Bu miras rahatdır və profil məhz beləcə heç kimin şüurlu seçmədiyi dəyərlərlə qalır.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Dəyərlər üst-üstə düşsə belə, hər iki sətri yerləşdirmə qeydinə yazın. Onda rəyçi Child SA-nın təsadüfən miras alınmadığını, nəzərdən keçirildiyini görə bilər və bir sətirdə sonrakı dəyişiklik digərini səssizcə dəyişməz.

Sətri kopyalamazdan əvvəl hər açarın nə demək olduğunu yoxlayın

Dörd açar başqa məhsulun təklif sətri ilə bir-birini əvəz etmir. Alqoritm adları tətbiqə xasdır, ona görə seçilmiş dəsti hər tərəfin sənədləşdirilmiş sintaksisi ilə tərcümə edin, strongSwan təklifini Apple sahəsinə yapışdırmayın.

“Ən böyük qrup nömrəsini istifadə edin” seçim üsulu deyil. Qrup identifikatorları fərqli quruluşları adlandırır və daha böyük nömrə sadəcə eyni şeyin daha güclü versiyası demək deyil. Şlüzün sahibinə tam kombinasiyanı təsdiqlətdirin, çünki dəst bütöv kimi etibarlı və ya etibarsızdır. Təsdiqlənmiş şifr təsdiqlənməmiş qrupla birlikdə təsdiqlənməmiş təklifdir və ya uğursuz olacaq, ya da heç bir tərəfin sənədləşdirmədiyi bir şeyə səssizcə geri dönəcək.

Köhnə alqoritmləri təqaüdə çıxaran versiya məhdudiyyətlərini yoxlayın

Apple yük sxemi DES, 3DES, SHA1-96, SHA1-160 və Diffie-Hellman qrupları 1, 2 və 5-i 26-dan əvvəlki macOS versiyaları ilə məhdudlaşdırır. Köhnə yerləşdirmədən köçürülmüş profil həmin dəyərlərdən birini hələ də saxlaya və köhnə şlüzə qoşula bilər; işlək konfiqurasiyanın təqaüd tarixini gizlətdiyi hal məhz budur.

Profili qurmazdan əvvəl dəstəklənən Mac versiyalarını və şlüzün saxladığı təklif siyasətini əldə edin. Sonra kəsişməni seçin və qalan variantların niyə istisna edildiyini qeyd edin. “Şlüz köhnə müştərilər üçün hələ də qrup 2 təklif edir” qeydi tarixi olmayan şifr siyahısından daha dəyərlidir. Belə qeyd olmadan növbəti rəyçi qəsdən edilmiş istisnanı səhvən buraxılmışdan ayıra bilməz.

Autentifikasiyanı ayrı sətirdə yoxlayın

Təklif barədə razılıq səhv server kimliyini düzəltmir. Şlüz kimliyi, sertifikat etimadı və istifadəçi və ya cihaz məlumatları ayrı qərarlardır və alqoritmlər tam uyğun olsa da hər biri uğursuz ola bilər. Sertifikatın imza alqoritmini dəyişmək IKE şifrləmə alqoritmini seçməklə eyni hərəkət deyil, baxmayaraq ki, hər ikisi eyni baxışda görünür.

Gözlənilən server kimliyini qeyddə təklifin yanında saxlayın. Sertifikat dəyişikliyindən sonra qoşulma uğursuz olarsa, bu cütlük növbəti şəxsə əvvəlcə razılaşmanın, yoxsa etimad qərarının dəyişdiyini bildirir.

Bir reviziya yerləşdirin və nəyin razılaşdırıldığını yoxlayın

Təşkilatın dəstəklənən paylama iş axınını istifadə edin və profil identifikatorunu, reviziyanı, hədəf Mac versiyalarını və uyğun şlüz siyasətini qeyd edin. Qoşula bilməyən cihazlara sənədləşdirilmiş bərpa yolu verin və mülkiyyətini heç kimin müəyyən edə bilmədiyi eyni adlı ikinci profil yaratmaqdan çəkinin.

Qəbul zamanı quraşdırılmış konfiqurasiyanı və razılaşdırılmış IKE və Child assosiasiyalarını təsdiqlənmiş diaqnostika ilə yoxlayın. Sonra nəzarətli yeniləməni məcburi edin, çünki ilk qoşulma yalnız ilkin razılaşmanın işlədiyini sübut edir; ömür uyğunsuzluğu adətən yerləşdirmə təsdiqləndikdən çox sonra, ilk açar yeniləməsində ortaya çıxır.

Qəbul edilmiş dəsti reviziya qeydi ilə birlikdə saxlayın. Onda növbəti macOS yeniləməsi və ya şlüz dəyişikliyi sadəcə bugün təsadüfən qoşulan profil əvəzinə müqayisə üçün baza xəttinə malik olur.