Προφίλ IKEv2 για Mac: ορίστε και τα δύο λεξικά SA και μετά δοκιμάστε

Μια επιτυχημένη σύνδεση αποδεικνύει μόνο ότι και τα δύο άκρα βρήκαν ένα σύνολο τιμών που αποδέχονται. Ένα διαχειριζόμενο προφίλ IKEv2 για Mac φέρει δύο λεξικά συσχέτισης ασφαλείας, η πύλη έχει τη δική της λίστα προτάσεων και η σύνδεση πετυχαίνει σε όποια τομή επιτρέπουν και οι δύο πλευρές. Εκτελέστε τους ελέγχους παρακάτω με τη σειρά και σταματήστε εκεί όπου τα δύο άκρα διαφωνούν, αντί να προσθέσετε άλλον κρυπταλγόριθμο για να δείτε αν βοηθά. Κάθε βήμα αποκλείει ένα διαφορετικό επίπεδο του προφίλ.

Ελέγξτε και τα δύο λεξικά πριν αλλάξετε μια τιμή

Μέσα στις ρυθμίσεις IKEv2 του φορτίου VPN, το IKESecurityAssociationParameters περιγράφει τη συσχέτιση IKE και το ChildSecurityAssociationParameters περιγράφει την Child SA. Το σχήμα της Apple ορίζει ότι οι παράμετροι IKE ισχύουν και για την Child SA όταν λείπει το δεύτερο λεξικό. Αυτή η κληροδότηση είναι βολική και έτσι ακριβώς ένα προφίλ καταλήγει με τιμές που κανείς δεν επέλεξε συνειδητά.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Γράψτε και τις δύο γραμμές στο αρχείο ανάπτυξης ακόμη και όταν οι τιμές ταιριάζουν. Έτσι ο ελεγκτής μπορεί να δει ότι η Child SA εξετάστηκε αντί να κληροδοτηθεί κατά λάθος, και μια μεταγενέστερη αλλαγή στη μία γραμμή δεν αλλάζει σιωπηρά την άλλη.

Ελέγξτε τι σημαίνει κάθε κλειδί πριν αντιγράψετε μια συμβολοσειρά

Τα τέσσερα κλειδιά δεν είναι ανταλλάξιμα με μια συμβολοσειρά πρότασης από άλλο προϊόν. Τα ονόματα των αλγορίθμων εξαρτώνται από την υλοποίηση, οπότε μεταφράστε το επιλεγμένο σύνολο μέσω της τεκμηριωμένης σύνταξης κάθε πλευράς αντί να επικολλήσετε μια πρόταση strongSwan σε πεδίο της Apple.

Το «χρησιμοποιήστε τον μεγαλύτερο αριθμό ομάδας» δεν είναι μέθοδος επιλογής. Τα αναγνωριστικά ομάδων ονομάζουν διαφορετικές κατασκευές, και ένας μεγαλύτερος αριθμός δεν σημαίνει απλώς μια ισχυρότερη εκδοχή του ίδιου πράγματος. Ζητήστε από τον ιδιοκτήτη της πύλης να εγκρίνει τον πλήρη συνδυασμό, γιατί ένα σύνολο είναι έγκυρο ή άκυρο ως σύνολο. Ένας εγκεκριμένος κρυπταλγόριθμος με μη εγκεκριμένη ομάδα είναι μη εγκεκριμένη πρόταση και είτε θα αποτύχει είτε θα υποχωρήσει σιωπηρά σε κάτι που καμία πλευρά δεν τεκμηρίωσε.

Ελέγξτε τα όρια έκδοσης που αποσύρουν παλιούς αλγορίθμους

Το σχήμα φορτίου της Apple περιορίζει τα DES, 3DES, SHA1-96, SHA1-160 και τις ομάδες Diffie-Hellman 1, 2 και 5 σε εκδόσεις macOS πριν από την 26. Ένα προφίλ που μεταφέρθηκε από παλαιότερη ανάπτυξη μπορεί ακόμη να περιέχει μία από αυτές τις τιμές και να συνδέεται ακόμη σε παλιά πύλη, και αυτή είναι ακριβώς η περίπτωση όπου μια λειτουργική διαμόρφωση κρύβει μια ημερομηνία απόσυρσης.

Αποκτήστε τις υποστηριζόμενες εκδόσεις Mac και την πολιτική προτάσεων που διατηρεί η πύλη πριν δημιουργήσετε το προφίλ. Στη συνέχεια επιλέξτε την τομή και καταγράψτε γιατί αποκλείστηκαν οι υπόλοιπες επιλογές. Μια σημείωση ότι «η πύλη εξακολουθεί να προσφέρει ομάδα 2 για παλιούς πελάτες» αξίζει περισσότερο από μια λίστα κρυπταλγορίθμων χωρίς ιστορικό. Χωρίς αυτή τη σημείωση, ο επόμενος ελεγκτής δεν μπορεί να ξεχωρίσει μια σκόπιμη εξαίρεση από μια παράλειψη.

Ελέγξτε την αυθεντικοποίηση σε δική της γραμμή

Η συμφωνία σε μια πρόταση δεν διορθώνει λάθος ταυτότητα διακομιστή. Η ταυτότητα της πύλης, η εμπιστοσύνη στο πιστοποιητικό και τα διαπιστευτήρια χρήστη ή συσκευής είναι ξεχωριστές αποφάσεις και καθεμία μπορεί να αποτύχει ενώ οι αλγόριθμοι είναι απόλυτα ευθυγραμμισμένοι. Η αλλαγή του αλγορίθμου υπογραφής ενός πιστοποιητικού δεν είναι η ίδια πράξη με την επιλογή του αλγορίθμου κρυπτογράφησης IKE, αν και τα δύο εμφανίζονται στην ίδια ανασκόπηση.

Κρατήστε την αναμενόμενη ταυτότητα διακομιστή δίπλα στην πρόταση στο αρχείο. Όταν μια σύνδεση αποτυγχάνει μετά από αλλαγή πιστοποιητικού, αυτό το ζεύγος λέει στον επόμενο άνθρωπο αν κινήθηκε πρώτα η διαπραγμάτευση ή η απόφαση εμπιστοσύνης.

Αναπτύξτε μία αναθεώρηση και επιθεωρήστε τι διαπραγματεύτηκε

Χρησιμοποιήστε τη ροή διανομής που υποστηρίζει ο οργανισμός και καταγράψτε το αναγνωριστικό του προφίλ, την αναθεώρηση, τις εκδόσεις Mac-στόχους και την αντίστοιχη πολιτική πύλης. Δώστε στις συσκευές που δεν μπορούν να συνδεθούν μια τεκμηριωμένη διαδρομή ανάκτησης και αποφύγετε τη δημιουργία δεύτερου προφίλ με το ίδιο όνομα του οποίου την κυριότητα κανείς δεν μπορεί να αποδείξει.

Κατά την αποδοχή, επιθεωρήστε την εγκατεστημένη διαμόρφωση και τις διαπραγματευμένες συσχετίσεις IKE και Child μέσω εγκεκριμένων διαγνωστικών. Στη συνέχεια εξαναγκάστε μια ελεγχόμενη ανανέωση, γιατί η πρώτη σύνδεση αποδεικνύει μόνο ότι η αρχική διαπραγμάτευση λειτούργησε· μια αναντιστοιχία διάρκειας ζωής εμφανίζεται συνήθως στην πρώτη αλλαγή κλειδιού, πολύ μετά την έγκριση της ανάπτυξης.

Κρατήστε το αποδεκτό σύνολο μαζί με το αρχείο αναθεώρησης. Έτσι η επόμενη ενημέρωση macOS ή αλλαγή πύλης έχει μια βάση σύγκρισης αντί για ένα προφίλ που απλώς τυχαίνει να συνδέεται σήμερα.