Mac IKEv2 প্রোফাইল: দুটি SA অভিধানই সেট করুন, তারপর পরীক্ষা করুন
সেই অভিধান না থাকলে IKE প্যারামিটারগুলো Child SA উত্তরাধিকার সূত্রে পায়। দুটোই পূরণ করুন, নামগুলো অনুবাদ করুন এবং পক্ষগুলো আসলে কী নিয়ে সমঝোতা করেছে তা যাচাই করুন।
সফলভাবে সংযোগ হওয়া কেবল প্রমাণ করে যে দুই প্রান্ত এমন এক সেট মান খুঁজে পেয়েছে যা তারা গ্রহণ করে। একটি ব্যবস্থাপিত Mac IKEv2 প্রোফাইলে দুটি সিকিউরিটি-অ্যাসোসিয়েশন অভিধান থাকে, গেটওয়ের নিজস্ব প্রস্তাব-তালিকা থাকে, এবং দুই পক্ষ যে ছেদ অনুমোদন করে সেখানেই সংযোগ সফল হয়। নিচের পরীক্ষাগুলো ক্রমানুসারে সম্পন্ন করুন, এবং আরেকটি সাইফার যোগ করে সাহায্য হয় কি না দেখার বদলে দুই প্রান্ত যেখানে ভিন্নমত সেখানেই থামুন। প্রতিটি ধাপ প্রোফাইলের আলাদা স্তর বাদ দেয়।
কোনো মান সম্পাদনার আগে দুটি অভিধানই পরীক্ষা করুন
VPN পেলোডের IKEv2 সেটিংসের ভিতরে IKESecurityAssociationParameters IKE অ্যাসোসিয়েশন বর্ণনা করে এবং ChildSecurityAssociationParameters Child SA বর্ণনা করে। Apple-এর স্কিমা বলে যে দ্বিতীয় অভিধান অনুপস্থিত থাকলে IKE প্যারামিটারগুলো Child SA-তেও প্রযোজ্য। সেই উত্তরাধিকার সুবিধাজনক, এবং ঠিক এভাবেই একটি প্রোফাইলে এমন মান থেকে যায় যা কেউ সচেতনভাবে বেছে নেয়নি।
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>মান মিলে গেলেও দুটি সারি ডিপ্লয়মেন্ট রেকর্ডে লিখুন। তখন একজন পর্যালোচক দেখতে পান যে Child SA দুর্ঘটনাক্রমে উত্তরাধিকার না পেয়ে বিবেচিত হয়েছে, এবং একটি সারিতে পরবর্তী পরিবর্তন অন্যটিকে নীরবে বদলায় না।
কোনো স্ট্রিং কপি করার আগে প্রতিটি কী-এর অর্থ পরীক্ষা করুন
চারটি কী অন্য কোনো পণ্যের প্রস্তাব-স্ট্রিংয়ের সঙ্গে বিনিময়যোগ্য নয়। অ্যালগরিদমের নাম বাস্তবায়ন-নির্দিষ্ট, তাই Apple-এর ফিল্ডে strongSwan প্রস্তাব পেস্ট করার বদলে প্রতিটি পক্ষের নথিভুক্ত সিনট্যাক্স দিয়ে নির্বাচিত সেটটি অনুবাদ করুন।
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
“সবচেয়ে বড় গ্রুপ নম্বর ব্যবহার করুন” কোনো নির্বাচন পদ্ধতি নয়। গ্রুপ শনাক্তকারীরা ভিন্ন ভিন্ন গঠন নির্দেশ করে, এবং বড় নম্বর মানে সহজভাবে একই জিনিসের আরও শক্তিশালী সংস্করণ নয়। গেটওয়ের মালিককে সম্পূর্ণ সমন্বয় অনুমোদন করতে দিন, কারণ একটি সেট সম্পূর্ণ হিসেবে বৈধ বা অবৈধ। অনুমোদিত সাইফারের সঙ্গে অননুমোদিত গ্রুপ একটি অননুমোদিত প্রস্তাব, এবং তা হয় ব্যর্থ হবে নয়তো নীরবে এমন কিছুতে ফিরে যাবে যা কোনো পক্ষই নথিভুক্ত করেনি।
পুরনো অ্যালগরিদম অবসরে পাঠানো সংস্করণ-সীমা পরীক্ষা করুন
Apple পেলোড স্কিমা DES, 3DES, SHA1-96, SHA1-160 এবং Diffie-Hellman গ্রুপ 1, 2 ও 5-কে 26-এর আগের macOS সংস্করণে সীমাবদ্ধ করে। পুরনো ডিপ্লয়মেন্ট থেকে বহন করা প্রোফাইলে এখনও সেই মানগুলোর একটি থাকতে পারে এবং পুরনো গেটওয়ের সঙ্গে সংযোগ হতে পারে, আর ঠিক এখানেই একটি কার্যকর কনফিগারেশন অবসরের তারিখ লুকিয়ে রাখে।
প্রোফাইল তৈরির আগে সমর্থিত Mac সংস্করণ এবং গেটওয়ে যে প্রস্তাব-নীতি বজায় রাখে তা সংগ্রহ করুন। তারপর ছেদটি বেছে নিন এবং বাকি বিকল্পগুলো কেন বাদ দেওয়া হলো তা লিখুন। “গেটওয়ে পুরনো ক্লায়েন্টের জন্য এখনও গ্রুপ 2 দেয়” এমন একটি টীকা ইতিহাসহীন সাইফার-তালিকার চেয়ে বেশি মূল্যবান। সেই টীকা ছাড়া পরবর্তী পর্যালোচক ইচ্ছাকৃত ব্যতিক্রম ও অবহেলার পার্থক্য করতে পারেন না।
প্রমাণীকরণ আলাদা লাইনে পরীক্ষা করুন
প্রস্তাবে সম্মতি ভুল সার্ভার পরিচয় ঠিক করে না। গেটওয়ে পরিচয়, সার্টিফিকেটে আস্থা এবং ব্যবহারকারী বা ডিভাইসের শংসাপত্র আলাদা সিদ্ধান্ত, এবং অ্যালগরিদম পুরোপুরি মিলে থাকলেও প্রতিটি ব্যর্থ হতে পারে। সার্টিফিকেটের স্বাক্ষর অ্যালগরিদম বদলানো IKE এনক্রিপশন অ্যালগরিদম বেছে নেওয়ার সমান কাজ নয়, যদিও দুটোই একই পর্যালোচনায় দেখা যায়।
প্রত্যাশিত সার্ভার পরিচয় রেকর্ডে প্রস্তাবের পাশে রাখুন। সার্টিফিকেট পরিবর্তনের পর সংযোগ ব্যর্থ হলে সেই জোড়া পরবর্তী ব্যক্তিকে বলে দেয় আলোচনা না আস্থার সিদ্ধান্ত আগে নড়েছে।
একটি সংশোধন স্থাপন করুন এবং কী নিয়ে আলোচনা হয়েছে তা পরীক্ষা করুন
প্রতিষ্ঠানের সমর্থিত বিতরণ কর্মপ্রবাহ ব্যবহার করুন এবং প্রোফাইল শনাক্তকারী, সংশোধন, লক্ষ্য Mac সংস্করণ ও সংশ্লিষ্ট গেটওয়ে নীতি লিখুন। যেসব ডিভাইস সংযোগ করতে পারে না তাদের নথিভুক্ত পুনরুদ্ধার পথ দিন, এবং একই নামের দ্বিতীয় প্রোফাইল তৈরি করা এড়িয়ে চলুন যার মালিকানা কেউ প্রতিষ্ঠা করতে পারে না।
গ্রহণের সময় অনুমোদিত ডায়াগনস্টিকস দিয়ে ইনস্টল করা কনফিগারেশন এবং আলোচিত IKE ও Child অ্যাসোসিয়েশন পরীক্ষা করুন। তারপর নিয়ন্ত্রিত নবায়ন বাধ্যতামূলক করুন, কারণ প্রথম সংযোগ কেবল প্রমাণ করে প্রাথমিক আলোচনা কাজ করেছে; Lifetime-এর অমিল সাধারণত প্রথম rekey-তে দেখা যায়, ডিপ্লয়মেন্ট অনুমোদনের অনেক পরে।
গৃহীত সেটটি সংশোধন রেকর্ডের সঙ্গে রাখুন। তখন পরবর্তী macOS আপডেট বা গেটওয়ে পরিবর্তনের তুলনার জন্য একটি ভিত্তিরেখা থাকে, এমন একটি প্রোফাইলের বদলে যা আজ কেবল দৈবক্রমে সংযোগ করছে।