Mac IKEv2-profil: angiv begge SA-ordbøger, og test derefter

En vellykket forbindelse beviser kun, at begge ender har fundet et sæt værdier, som de accepterer. En administreret Mac IKEv2-profil indeholder to sikkerhedsassociation-ordbøger, gatewayen har sin egen forslagsliste, og forbindelsen lykkes på det fælles snit, som begge sider tillader. Udfør kontrollerne nedenfor i rækkefølge, og stop dér, hvor de to ender er uenige, i stedet for at tilføje endnu et cipher og se, om det hjælper. Hvert trin udelukker et andet lag af profilen.

Kontrollér begge ordbøger, før du redigerer en værdi

Inde i VPN-payloadens IKEv2-indstillinger beskriver IKESecurityAssociationParameters IKE-associationen, og ChildSecurityAssociationParameters beskriver Child SA. Apples skema angiver, at IKE-parametrene også gælder for Child SA, når den anden ordbog mangler. Den nedarvning er bekvem, og det er også sådan en profil ender med værdier, som ingen bevidst har valgt.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Skriv begge rækker i udrulningsposten, også når værdierne er ens. Så kan en anmelder se, at Child SA blev overvejet i stedet for tilfældigt nedarvet, og en senere ændring i den ene række ændrer ikke den anden i det skjulte.

Kontrollér, hvad hver nøgle betyder, før du kopierer en streng

De fire nøgler kan ikke udskiftes med en forslagsstreng fra et andet produkt. Algoritmenavnene afhænger af implementeringen, så oversæt det valgte sæt via hver sides dokumenterede syntaks i stedet for at indsætte et strongSwan-forslag i et Apple-felt.

„Brug det største gruppenummer” er ikke en udvælgelsesmetode. Gruppeidentifikatorer betegner forskellige konstruktioner, og et højere nummer betyder ikke bare en stærkere version af det samme. Lad ejeren af gatewayen godkende den fulde kombination, fordi et sæt er gyldigt eller ugyldigt som helhed. Et godkendt cipher med en ikke-godkendt gruppe er et ikke-godkendt forslag, og det vil enten fejle eller i det skjulte falde tilbage til noget, som ingen af siderne har dokumenteret.

Kontrollér de versionsgrænser, der pensionerer gamle algoritmer

Apples payload-skema begrænser DES, 3DES, SHA1-96, SHA1-160 og Diffie-Hellman-gruppe 1, 2 og 5 til macOS-versioner før 26. En profil, der er overført fra en ældre udrulning, kan stadig indeholde en af disse værdier og stadig forbinde til en gammel gateway, og det er netop det tilfælde, hvor en fungerende konfiguration skjuler en nedlæggelsesdato.

Skaf de understøttede Mac-versioner og den forslagspolitik, som gatewayen vedligeholder, før du bygger profilen. Vælg derefter snittet, og registrér, hvorfor de resterende muligheder blev udelukket. En note om, at „gatewayen tilbyder stadig gruppe 2 til ældre klienter”, er mere værd end en cipher-liste uden historik. Uden den note kan den næste anmelder ikke skelne en bevidst undtagelse fra en forglemmelse.

Kontrollér godkendelse på sin egen linje

Enighed om et forslag reparerer ikke en forkert serveridentitet. Gateway-identitet, certifikattillid og brugerens eller enhedens legitimationsoplysninger er separate beslutninger, og hver af dem kan fejle, mens algoritmerne er perfekt afstemt. At ændre et certifikats signaturalgoritme er ikke den samme handling som at vælge IKE-krypteringsalgoritmen, selv om begge optræder i samme gennemgang.

Hold den forventede serveridentitet ved siden af forslaget i posten. Når en forbindelse fejler efter en certifikatændring, fortæller det par den næste person, om forhandlingen eller tillidsbeslutningen flyttede sig først.

Udrul én revision, og inspicér, hvad der blev forhandlet

Brug organisationens understøttede distributionsworkflow, og registrér profilens identifikator, revisionen, mål-Mac-versionerne og den matchende gateway-politik. Giv enheder, der ikke kan forbinde, en dokumenteret gendannelsesvej, og undgå at oprette en anden profil med samme navn, hvis ejerskab ingen kan fastslå.

Under accepten skal du inspicere den installerede konfiguration og de forhandlede IKE- og Child-associationer via godkendt diagnostik. Tving derefter en kontrolleret fornyelse, fordi den første forbindelse kun beviser, at den indledende forhandling virkede; en levetidsuoverensstemmelse viser sig normalt ved den første nøgleudskiftning, længe efter at udrulningen er godkendt.

Hold det accepterede sæt sammen med revisionsposten. Så har den næste macOS-opdatering eller gatewayændring en baseline at sammenligne med i stedet for en profil, der blot tilfældigvis forbinder i dag.