Profil IKEv2 pro Mac: nastavte oba slovníky SA a poté testujte

Parametry IKE dědí Child SA, když tento slovník chybí. Vyplňte oba, přeložte názvy a zkontrolujte, co si protistrany skutečně vyjednaly.

Úspěšné připojení dokazuje jen to, že obě strany našly sadu hodnot, kterou přijímají. Spravovaný profil IKEv2 pro Mac nese dva slovníky bezpečnostní asociace, brána má svůj vlastní seznam návrhů a spojení uspěje na jakémkoli průsečíku, který obě strany povolí. Proveďte níže uvedené kontroly v pořadí a zastavte se tam, kde se obě strany rozcházejí, místo abyste přidávali další šifru a zjišťovali, zda pomůže. Každý krok vylučuje jinou vrstvu profilu.

Zkontrolujte oba slovníky, než upravíte hodnotu

Uvnitř nastavení IKEv2 v užitečném zatížení VPN popisuje IKESecurityAssociationParameters asociaci IKE a ChildSecurityAssociationParameters popisuje Child SA. Schéma Apple uvádí, že parametry IKE platí i pro Child SA, když druhý slovník chybí. Toto dědění je pohodlné a právě tak se profil dostane k hodnotám, které nikdo vědomě nezvolil.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Zapište oba řádky do záznamu o nasazení, i když se hodnoty shodují. Recenzent pak vidí, že Child SA byla zvážena, a ne náhodou zděděna, a pozdější změna jednoho řádku tiše nezmění druhý.

Zkontrolujte, co každý klíč znamená, než zkopírujete řetězec

Čtyři klíče nejsou zaměnitelné s řetězcem návrhu z jiného produktu. Názvy algoritmů závisí na implementaci, proto přeložte zvolenou sadu pomocí dokumentované syntaxe každé strany, místo abyste vkládali návrh strongSwan do pole Apple.

KeyHoldsCommon mistake
EncryptionAlgorithmCipher for that associationAssuming an AEAD name also sets integrity
IntegrityAlgorithmIntegrity for the chosen suiteLeaving it set for an AEAD suite that does not use one
DiffieHellmanGroupNumeric group identifierReading the number as key size in bits
LifeTimeInMinutesAssociation lifetimeSetting it shorter than the gateway's renewal margin

„Použijte nejvyšší číslo skupiny“ není metoda výběru. Identifikátory skupin označují různé konstrukce a vyšší číslo prostě neznamená silnější verzi téže věci. Nechte vlastníka brány schválit celou kombinaci, protože sada je platná nebo neplatná jako celek. Schválená šifra s neschválenou skupinou je neschválený návrh a buď selže, nebo tiše přejde na něco, co žádná strana nedokumentovala.

Zkontrolujte limity verzí, které vyřazují staré algoritmy

Schéma užitečného zatížení Apple omezuje DES, 3DES, SHA1-96, SHA1-160 a skupiny Diffie-Hellman 1, 2 a 5 na verze macOS před 26. Profil přenesený ze staršího nasazení může stále obsahovat jednu z těchto hodnot a stále se připojovat ke staré bráně, což je právě případ, kdy funkční konfigurace skrývá datum vyřazení.

Před sestavením profilu zjistěte podporované verze Mac a politiku návrhů, kterou brána udržuje. Poté zvolte průsečík a zaznamenejte, proč byly zbývající možnosti vyloučeny. Poznámka „brána stále nabízí skupinu 2 pro staré klienty“ má větší cenu než seznam šifer bez historie. Bez této poznámky další recenzent nerozezná záměrnou výjimku od opomenutí.

Zkontrolujte autentizaci na samostatném řádku

Shoda na návrhu neopraví špatnou identitu serveru. Identita brány, důvěra v certifikát a přihlašovací údaje uživatele nebo zařízení jsou samostatná rozhodnutí a každé může selhat, zatímco algoritmy jsou dokonale sladěné. Změna podpisového algoritmu certifikátu není stejný úkon jako volba šifrovacího algoritmu IKE, i když se obojí objeví ve stejné recenzi.

Uchovejte očekávanou identitu serveru vedle návrhu v záznamu. Když spojení po změně certifikátu selže, tato dvojice řekne dalšímu člověku, zda se první pohnulo vyjednávání, nebo rozhodnutí o důvěře.

Nasaďte jednu revizi a prohlédněte, co bylo vyjednáno

Použijte podporovaný distribuční postup organizace a zaznamenejte identifikátor profilu, revizi, cílové verze Mac a odpovídající politiku brány. Dejte zařízením, která se nemohou připojit, dokumentovanou cestu obnovy a vyhněte se vytvoření druhého profilu se stejným názvem, jehož vlastnictví nikdo nedokáže určit.

Během přejímky prohlédněte nainstalovanou konfiguraci a vyjednané asociace IKE a Child pomocí schválené diagnostiky. Poté vynuťte řízenou obnovu, protože první spojení dokazuje jen to, že počáteční vyjednávání fungovalo; nesoulad životnosti se obvykle objeví při prvním obnovení klíčů, dlouho poté, co bylo nasazení schváleno.

Uchovejte přijatou sadu u záznamu revize. Příští aktualizace macOS nebo změna brány pak má základnu pro srovnání místo profilu, který se dnes jen náhodou připojuje.

Související články