Mac-IKEv2-Profil: beide SA-Wörterbücher setzen und dann testen

Eine erfolgreiche Verbindung beweist nur, dass beide Seiten eine Menge von Werten gefunden haben, die sie akzeptieren. Ein verwaltetes Mac-IKEv2-Profil enthält zwei Security-Association-Wörterbücher, das Gateway hat seine eigene Vorschlagsliste, und die Verbindung gelingt auf der Schnittmenge, die beide Seiten zulassen. Arbeiten Sie die folgenden Prüfungen der Reihe nach ab, und halten Sie dort an, wo die beiden Seiten voneinander abweichen, statt eine weitere Verschlüsselung hinzuzufügen, um zu sehen, ob sie hilft. Jeder Schritt schließt eine andere Ebene des Profils aus.

Prüfen Sie beide Wörterbücher, bevor Sie einen Wert ändern

Innerhalb der IKEv2-Einstellungen der VPN-Nutzlast beschreibt IKESecurityAssociationParameters die IKE-Assoziation und ChildSecurityAssociationParameters die Child SA. Apples Schema legt fest, dass die IKE-Parameter auch für die Child SA gelten, wenn das zweite Wörterbuch fehlt. Diese Vererbung ist bequem, und genau so landet ein Profil bei Werten, die niemand bewusst gewählt hat.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Schreiben Sie beide Zeilen in den Bereitstellungsdatensatz, auch wenn die Werte übereinstimmen. Ein Prüfer kann dann sehen, dass die Child SA bedacht und nicht versehentlich geerbt wurde, und eine spätere Änderung an einer Zeile ändert die andere nicht stillschweigend.

Prüfen Sie, was jeder Schlüssel bedeutet, bevor Sie eine Zeichenkette kopieren

Die vier Schlüssel sind nicht mit einer Vorschlagszeichenkette aus einem anderen Produkt austauschbar. Die Algorithmusnamen sind implementierungsspezifisch, übersetzen Sie die gewählte Suite daher über die dokumentierte Syntax jeder Seite, statt einen strongSwan-Vorschlag in ein Apple-Feld einzufügen.

„Verwenden Sie die größte Gruppennummer“ ist keine Auswahlmethode. Gruppenkennungen bezeichnen unterschiedliche Konstruktionen, und eine höhere Nummer bedeutet nicht einfach eine stärkere Version derselben Sache. Lassen Sie den Eigentümer des Gateways die vollständige Kombination genehmigen, denn eine Suite ist als Ganzes gültig oder ungültig. Eine genehmigte Verschlüsselung mit einer nicht genehmigten Gruppe ist ein nicht genehmigter Vorschlag, und sie wird entweder fehlschlagen oder stillschweigend auf etwas zurückfallen, das keine der beiden Seiten dokumentiert hat.

Prüfen Sie die Versionsgrenzen, die alte Algorithmen ausmustern

Das Apple-Nutzlastschema beschränkt DES, 3DES, SHA1-96, SHA1-160 und die Diffie-Hellman-Gruppen 1, 2 und 5 auf macOS-Versionen vor 26. Ein aus einer älteren Bereitstellung übernommenes Profil kann noch einen dieser Werte enthalten und sich weiterhin mit einem alten Gateway verbinden, und genau in diesem Fall verbirgt eine funktionierende Konfiguration ein Abschaltdatum.

Ermitteln Sie die unterstützten Mac-Versionen und die gepflegte Vorschlagsrichtlinie des Gateways, bevor Sie das Profil erstellen. Wählen Sie dann die Schnittmenge und halten Sie fest, warum die übrigen Optionen ausgeschlossen wurden. Ein Hinweis „das Gateway bietet Gruppe 2 noch für Altclients an“ ist mehr wert als eine Verschlüsselungsliste ohne Vorgeschichte. Ohne diesen Hinweis kann der nächste Prüfer eine bewusste Ausnahme nicht von einem Versehen unterscheiden.

Prüfen Sie die Authentifizierung in einer eigenen Zeile

Eine Einigung über einen Vorschlag repariert keine falsche Serveridentität. Gateway-Identität, Zertifikatsvertrauen und die Anmeldedaten von Benutzer oder Gerät sind getrennte Entscheidungen, und jede kann fehlschlagen, während die Algorithmen perfekt abgestimmt sind. Den Signaturalgorithmus eines Zertifikats zu ändern ist nicht dieselbe Handlung wie den IKE-Verschlüsselungsalgorithmus auszuwählen, auch wenn beides in derselben Prüfung erscheint.

Halten Sie die erwartete Serveridentität neben dem Vorschlag im Datensatz fest. Wenn eine Verbindung nach einer Zertifikatsänderung fehlschlägt, sagt diese Paarung der nächsten Person, ob sich zuerst die Aushandlung oder die Vertrauensentscheidung bewegt hat.

Stellen Sie eine Revision bereit und prüfen Sie, was ausgehandelt wurde

Verwenden Sie den unterstützten Verteilungsablauf der Organisation und erfassen Sie die Profilkennung, die Revision, die Ziel-Mac-Versionen und die passende Gateway-Richtlinie. Geben Sie Geräten, die sich nicht verbinden können, einen dokumentierten Wiederherstellungsweg, und vermeiden Sie ein zweites gleichnamiges Profil, dessen Eigentümerschaft niemand feststellen kann.

Prüfen Sie während der Abnahme die installierte Konfiguration und die ausgehandelten IKE- und Child-Assoziationen über genehmigte Diagnosewerkzeuge. Erzwingen Sie dann eine kontrollierte Erneuerung, denn die erste Verbindung beweist nur, dass die anfängliche Aushandlung funktioniert hat; eine Abweichung der Lebensdauer zeigt sich meist beim ersten Schlüsselwechsel, lange nachdem die Bereitstellung abgenommen wurde.

Bewahren Sie die akzeptierte Suite beim Revisionsdatensatz auf. Dann hat die nächste macOS-Aktualisierung oder Gateway-Änderung eine Vergleichsbasis, statt eines Profils, das heute nur zufällig verbindet.