Профіль IKEv2 для Mac: задайце абодва слоўнікі SA, затым праверце

Параметры IKE наследуе Child SA, калі такі слоўнік адсутнічае. Запоўніце абодва, перакладзіце назвы і праверце, пра што бакі фактычна дамовіліся.

Паспяховае злучэнне даказвае толькі тое, што абодва бакі знайшлі набор значэнняў, які яны прымаюць. Кіраваны профіль IKEv2 для Mac змяшчае два слоўнікі асацыяцыі бяспекі, у шлюза ёсць свой спіс прапаноў, і злучэнне ўдаецца на любым перасячэнні, якое дапускаюць абодва бакі. Выконвайце прыведзеныя ніжэй праверкі па парадку і спыніцеся там, дзе бакі разыходзяцца, замест таго каб дадаваць яшчэ адзін шыфр, каб паглядзець, ці дапаможа. Кожны крок выключае іншы пласт профілю.

Праверце абодва слоўнікі, перш чым змяняць значэнне

У наладах IKEv2 карыснай нагрузкі VPN IKESecurityAssociationParameters апісвае асацыяцыю IKE, а ChildSecurityAssociationParameters апісвае Child SA. Схема Apple сцвярджае, што параметры IKE таксама прымяняюцца да Child SA, калі другі слоўнік адсутнічае. Такое ўспадкоўванне зручнае, і менавіта так профіль атрымлівае значэнні, якія ніхто свядома не выбіраў.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Запішыце абодва радкі ў запіс разгортвання, нават калі значэнні супадаюць. Тады рэцэнзент убачыць, што Child SA разглядалася, а не ўспадкавана выпадкова, і наступнае змяненне аднаго радка не зменіць моўчкі другі.

Праверце, што азначае кожны ключ, перш чым капіяваць радок

Чатыры ключы не ўзаемазамяняльныя з радком прапановы іншага прадукту. Назвы алгарытмаў залежаць ад рэалізацыі, таму перакладзіце выбраны набор праз дакументаваны сінтаксіс кожнага боку, а не ўстаўляйце прапанову strongSwan у поле Apple.

KeyHoldsCommon mistake
EncryptionAlgorithmCipher for that associationAssuming an AEAD name also sets integrity
IntegrityAlgorithmIntegrity for the chosen suiteLeaving it set for an AEAD suite that does not use one
DiffieHellmanGroupNumeric group identifierReading the number as key size in bits
LifeTimeInMinutesAssociation lifetimeSetting it shorter than the gateway's renewal margin

«Выкарыстоўвайце найбольшы нумар групы» — гэта не метад выбару. Ідэнтыфікатары груп называюць розныя канструкцыі, і большы нумар не азначае проста больш моцную версію таго ж самага. Няхай уладальнік шлюза ўхваліць поўную камбінацыю, бо набор правільны або няправільны як цэлае. Ухвалены шыфр з неўхваленай групай — гэта неўхваленая прапанова, і яна або праваліцца, або моўчкі адкоціцца да чагося, што не дакументаваў ні адзін бок.

Праверце абмежаванні версій, якія выводзяць старыя алгарытмы

Схема карыснай нагрузкі Apple абмяжоўвае DES, 3DES, SHA1-96, SHA1-160 і групы Diffie-Hellman 1, 2 і 5 версіямі macOS да 26. Профіль, перанесены са старога разгортвання, можа ўсё яшчэ змяшчаць адно з гэтых значэнняў і ўсё яшчэ падключацца да старога шлюза, і гэта менавіта той выпадак, калі працоўная канфігурацыя хавае дату вываду з эксплуатацыі.

Атрымайце падтрымліваныя версіі Mac і палітыку прапаноў, якую падтрымлівае шлюз, перш чым будаваць профіль. Затым выберыце перасячэнне і запішыце, чаму астатнія варыянты выключаны. Нататка «шлюз усё яшчэ прапануе групу 2 для старых кліентаў» каштоўнейшая за спіс шыфраў без гісторыі. Без гэтай нататкі наступны рэцэнзент не адрозніць наўмыснае выключэнне ад недагляду.

Праверце аўтэнтыфікацыю асобным радком

Згода на прапанову не выпраўляе няправільную ідэнтычнасць сервера. Ідэнтычнасць шлюза, давер да сертыфіката і ўліковыя даныя карыстальніка або прылады — гэта асобныя рашэнні, і кожнае можа не спрацаваць, пакуль алгарытмы цалкам узгоднены. Змяніць алгарытм подпісу сертыфіката — не тое ж самае, што выбраць алгарытм шыфравання IKE, хоць абодва з'яўляюцца ў адным аглядзе.

Трымайце чаканую ідэнтычнасць сервера побач з прапановай у запісе. Калі злучэнне не ўдаецца пасля змены сертыфіката, гэтая пара паведамляе наступнаму чалавеку, што рушыла першым: перамовы ці рашэнне пра давер.

Разгарніце адну рэвізію і праверце, пра што дамовіліся

Выкарыстоўвайце падтрымліваемы працэс размеркавання арганізацыі і запішыце ідэнтыфікатар профілю, рэвізію, мэтавыя версіі Mac і адпаведную палітыку шлюза. Дайце прыладам, якія не могуць падключыцца, дакументаваны шлях аднаўлення і пазбягайце стварэння другога профілю з аднолькавай назвай, чыю ўласнасць ніхто не можа ўстанавіць.

Падчас прыёмкі агледзіце ўсталяваную канфігурацыю і ўзгодненыя асацыяцыі IKE і Child праз ухваленую дыягностыку. Затым прымусіце кантраляванае аднаўленне, бо першае злучэнне даказвае толькі тое, што пачатковыя перамовы працавалі; неадпаведнасць тэрміну жыцця звычайна праяўляецца пры першай замене ключа, праз доўгі час пасля ўхвалення разгортвання.

Трымайце прыняты набор разам з запісам рэвізіі. Тады наступнае абнаўленне macOS або змена шлюза мае базавую лінію для параўнання замест профілю, які проста выпадкова падключаецца сёння.

Падобныя артыкулы