Perfil IKEv2 de Mac: defineix els dos diccionaris SA i després prova

Una connexió correcta només demostra que els dos extrems han trobat un conjunt de valors que accepten. Un perfil IKEv2 de Mac gestionat porta dos diccionaris d'associació de seguretat, la passarel·la té la seva pròpia llista de propostes i la connexió s'estableix amb qualsevol intersecció que les dues parts permetin. Fes les comprovacions següents en ordre i atura't on els dos extrems no coincideixin, en lloc d'afegir un altre xifrat per veure si ajuda. Cada pas descarta una capa diferent del perfil.

Comprova els dos diccionaris abans d'editar cap valor

Dins dels ajustos IKEv2 de la càrrega VPN, IKESecurityAssociationParameters descriu l'associació IKE i ChildSecurityAssociationParameters descriu la Child SA. L'esquema d'Apple indica que els paràmetres IKE també s'apliquen a la Child SA quan falta el segon diccionari. Aquesta herència és convenient, i també és com un perfil acaba amb valors que ningú no ha triat conscientment.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Escriu les dues files al registre de desplegament encara que els valors coincideixin. Així un revisor pot veure que la Child SA es va considerar en lloc d'heretar-se per accident, i un canvi posterior en una fila no altera silenciosament l'altra.

Comprova què significa cada clau abans de copiar una cadena

Les quatre claus no són intercanviables amb una cadena de proposta d'un altre producte. Els noms dels algorismes depenen de la implementació, així que tradueix el conjunt triat mitjançant la sintaxi documentada de cada part en lloc d'enganxar una proposta de strongSwan en un camp d'Apple.

«Utilitza el número de grup més gran» no és un mètode de selecció. Els identificadors de grup designen construccions diferents, i un número més alt no vol dir simplement una versió més forta del mateix. Fes que el propietari de la passarel·la aprovi la combinació completa, perquè un conjunt és vàlid o invàlid en conjunt. Un xifrat aprovat amb un grup no aprovat és una proposta no aprovada, i o fallarà o retrocedirà silenciosament a una cosa que cap de les dues parts no ha documentat.

Comprova els límits de versió que retiren els algorismes antics

L'esquema de càrrega d'Apple restringeix DES, 3DES, SHA1-96, SHA1-160 i els grups 1, 2 i 5 de Diffie-Hellman a versions de macOS anteriors a la 26. Un perfil traslladat d'un desplegament més antic pot contenir encara un d'aquests valors i connectar igualment amb una passarel·la antiga, que és precisament el cas en què una configuració funcional amaga una data de retirada.

Obtén les versions de Mac compatibles i la política de propostes que manté la passarel·la abans de construir el perfil. Després tria la intersecció i registra per què s'han exclòs les opcions restants. Una nota que digui «la passarel·la encara ofereix el grup 2 per a clients antics» val més que una llista de xifrats sense història. Sense aquesta nota, el següent revisor no pot distingir una excepció deliberada d'un oblit.

Comprova l'autenticació en la seva pròpia línia

L'acord sobre una proposta no arregla una identitat de servidor incorrecta. La identitat de la passarel·la, la confiança en el certificat i les credencials de l'usuari o del dispositiu són decisions separades, i cadascuna pot fallar mentre els algorismes estan perfectament alineats. Canviar l'algorisme de signatura d'un certificat no és el mateix acte que triar l'algorisme de xifrat IKE, encara que tots dos apareguin en la mateixa revisió.

Mantén la identitat de servidor esperada al costat de la proposta al registre. Quan una connexió falla després d'un canvi de certificat, aquesta parella diu a la persona següent si s'ha mogut primer la negociació o la decisió de confiança.

Desplega una revisió i inspecciona què s'ha negociat

Utilitza el flux de distribució compatible de l'organització i registra l'identificador del perfil, la revisió, les versions de Mac objectiu i la política de passarel·la corresponent. Dona als dispositius que no es poden connectar un camí de recuperació documentat, i evita crear un segon perfil amb el mateix nom la propietat del qual ningú no pugui establir.

Durant l'acceptació, inspecciona la configuració instal·lada i les associacions IKE i Child negociades mitjançant diagnòstics aprovats. Després força una renovació controlada, perquè la primera connexió només demostra que la negociació inicial va funcionar; una discrepància de durada sol aparèixer a la primera renegociació de claus, molt després que el desplegament s'hagi aprovat.

Mantén el conjunt acceptat amb el registre de revisió. Així la propera actualització de macOS o canvi de passarel·la té una línia de base per comparar en lloc d'un perfil que simplement resulta que avui connecta.