Proffil IKEv2 Mac: gosod y ddau eiriadur SA, yna profi
Etifeddwyd paramedrau IKE gan y Child SA pan fo'r eiriadur hwnnw ar goll. Llenwch y ddau, cyfieithwch yr enwau, a gwiriwch beth a drafodwyd gan y cymheiriaid mewn gwirionedd.
Mae cysylltiad llwyddiannus yn profi'n unig fod y ddau ben wedi dod o hyd i set o werthoedd y maent yn eu derbyn. Mae proffil IKEv2 Mac a reolir yn cario dau eiriadur cymdeithas diogelwch, mae gan y porth ei restr gynigion ei hun, ac mae'r cysylltiad yn llwyddo ar ba bynnag groestoriad y mae'r ddwy ochr yn ei ganiatáu. Ewch drwy'r gwiriadau isod mewn trefn, ac arhoswch lle mae'r ddwy ochr yn anghytuno yn hytrach nag ychwanegu sifr arall i weld a yw'n helpu. Mae pob cam yn diystyru haen wahanol o'r proffil.
Gwiriwch y ddau eiriadur cyn golygu unrhyw werth
Y tu mewn i osodiadau IKEv2 y llwyth VPN, mae IKESecurityAssociationParameters yn disgrifio'r gymdeithas IKE ac mae ChildSecurityAssociationParameters yn disgrifio'r Child SA. Dywed schema Apple fod y paramedrau IKE hefyd yn berthnasol i'r Child SA pan fo'r ail eiriadur ar goll. Mae'r etifeddiaeth honno'n gyfleus, a dyna hefyd sut mae proffil yn gorffen â gwerthoedd na ddewisodd neb yn fwriadol.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Ysgrifennwch y ddwy res yn y cofnod defnyddio hyd yn oed pan fo'r gwerthoedd yn cyd-fynd. Yna gall adolygydd weld bod y Child SA wedi'i ystyried yn hytrach na'i etifeddu ar hap, ac nid yw newid diweddarach mewn un rhes yn newid y llall yn ddistaw.
Gwiriwch beth mae pob allwedd yn ei olygu cyn copïo llinyn
Nid yw'r pedair allwedd yn gyfnewidiol â llinyn cynnig o gynnyrch arall. Mae enwau'r algorithmau'n dibynnu ar y gweithrediad, felly cyfieithwch y set a ddewiswyd drwy gystrawen ddogfennedig pob ochr yn hytrach na gludo cynnig strongSwan i faes Apple.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
Nid yw „defnyddiwch y rhif grŵp mwyaf” yn ddull dethol. Mae dynodwyr grŵp yn enwi gwahanol gyfansoddiadau, ac nid yw rhif uwch yn golygu'n syml fersiwn gryfach o'r un peth. Gadewch i berchennog y porth gymeradwyo'r cyfuniad cyflawn, oherwydd mae set yn ddilys neu'n annilys fel cyfanwaith. Mae sifr gymeradwy gyda grŵp anghymeradwy yn gynnig anghymeradwy, a bydd naill ai'n methu neu'n cwympo'n ddistaw yn ôl i rywbeth na ddogfennodd y naill ochr na'r llall.
Gwiriwch y terfynau fersiwn sy'n rhoi'r gorau i hen algorithmau
Mae schema llwyth Apple yn cyfyngu DES, 3DES, SHA1-96, SHA1-160 a grwpiau Diffie-Hellman 1, 2 a 5 i fersiynau macOS cyn 26. Gall proffil a gludwyd o ddefnyddiad hŷn fod yn dal i gynnwys un o'r gwerthoedd hynny a dal i gysylltu â hen borth, a dyna'n union yr achos lle mae cyfluniad sy'n gweithio yn cuddio dyddiad ymdeol.
Sicrhewch y fersiynau Mac a gefnogir a'r polisi cynigion a gynhelir gan y porth cyn i chi adeiladu'r proffil. Yna dewiswch y croestoriad a chofnodwch pam y gwaharddwyd y dewisiadau sy'n weddill. Mae nodyn sy'n dweud „mae'r porth yn dal i gynnig grŵp 2 ar gyfer cleientiaid hen” yn werth mwy na rhestr sifrau heb hanes. Heb y nodyn hwnnw, ni all yr adolygydd nesaf wahaniaethu rhwng eithriad bwriadol ac esgeulustod.
Gwiriwch y dilysu ar ei linell ei hun
Nid yw cytundeb ar gynnig yn trwsio hunaniaeth gweinydd anghywir. Mae hunaniaeth y porth, ymddiriedaeth y dystysgrif a chymwysterau'r defnyddiwr neu'r ddyfais yn benderfyniadau ar wahân, a gall pob un fethu tra bo'r algorithmau'n cyd-fynd yn berffaith. Nid yw newid algorithm llofnod tystysgrif yr un weithred â dewis algorithm amgryptio IKE, er bod y ddau yn ymddangos yn yr un adolygiad.
Cadwch yr hunaniaeth gweinydd a ddisgwylir wrth ymyl y cynnig yn y cofnod. Pan fydd cysylltiad yn methu ar ôl newid tystysgrif, mae'r par hwnnw'n dweud wrth y person nesaf a symudodd y trafodaethau neu'r penderfyniad ymddiriedaeth gyntaf.
Defnyddiwch un adolygiad a gwiriwch beth a drafodwyd
Defnyddiwch lif gwaith dosbarthu a gefnogir gan y sefydliad a chofnodwch ddynodydd y proffil, yr adolygiad, y fersiynau Mac targed a'r polisi porth cyfatebol. Rhowch lwybr adfer dogfennedig i ddyfeisiau na allant gysylltu, ac osgowch greu ail broffil â'r un enw nad oes neb yn gallu sefydlu perchnogaeth arno.
Yn ystod y derbyn, archwiliwch y cyfluniad a osodwyd a'r cymdeithasau IKE a Child a drafodwyd drwy ddiagnosteg gymeradwy. Yna gorfodwch adnewyddiad rheoledig, oherwydd nid yw'r cysylltiad cyntaf ond yn profi bod y trafodaethau cychwynnol wedi gweithio; mae anghysondeb hyd oes fel arfer yn ymddangos yn y newid allwedd cyntaf, ymhell ar ôl i'r defnyddiad gael ei gymeradwyo.
Cadwch y set a dderbyniwyd gyda chofnod yr adolygiad. Yna bydd y diweddariad macOS nesaf neu newid y porth yn cael llinell sylfaen i gymharu â hi yn lle proffil sy'n digwydd cysylltu heddiw yn unig.