Mac IKEv2-profilo: agordu ambaŭ SA-vortarojn, poste testu

Sukcesa konekto pruvas nur, ke ambaŭ flankoj trovis aron da valoroj, kiujn ili akceptas. Administrata Mac IKEv2-profilo enhavas du vortarojn de sekureca asociiĝo, la enirejo havas sian propran liston de proponoj, kaj la konekto sukcesas sur kiu ajn komunaĵo la du flankoj permesas. Plenumu la sekvajn kontrolojn laŭ ordo, kaj haltu tie, kie la du flankoj malkonsentas, anstataŭ aldoni ankoraŭ unu ĉifron por vidi, ĉu ĝi helpas. Ĉiu paŝo ekskludas alian tavolon de la profilo.

Kontrolu ambaŭ vortarojn antaŭ ol redakti valoron

Ene de la IKEv2-agordoj de la VPN-ŝarĝo, IKESecurityAssociationParameters priskribas la IKE-asociiĝon kaj ChildSecurityAssociationParameters priskribas la Child SA. La skemo de Apple diras, ke la IKE-parametroj ankaŭ aplikiĝas al la Child SA kiam la dua vortaro mankas. Tiu heredo estas oportuna, kaj ĝuste tiel profilo finiĝas kun valoroj, kiujn neniu konscie elektis.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Skribu ambaŭ vicojn en la disfaldan registron eĉ kiam la valoroj kongruas. Tiam recenzisto povas vidi, ke la Child SA estis konsiderata, ne hazarde heredita, kaj posta ŝanĝo en unu vico ne silentiginte aliigas la alian.

Kontrolu, kion signifas ĉiu ŝlosilo antaŭ ol kopii signoĉenon

La kvar ŝlosiloj ne estas interŝanĝeblaj kun propona signoĉeno de alia produkto. La nomoj de la algoritmoj dependas de la efektivigo, do traduku la elektitan aron per la dokumentita sintakso de ĉiu flanko anstataŭ enmeti strongSwan-proponon en Apple-kampon.

„Uzu la plej grandan grupan numeron” ne estas elekta metodo. Grupaj identigiloj nomas malsamajn konstruaĵojn, kaj pli alta numero ne simple signifas pli fortan version de la sama afero. Lasu la posedanton de la enirejo aprobi la plenan kombinaĵon, ĉar aro validas aŭ malvalidas kiel tuto. Aprobita ĉifro kun neaprobita grupo estas neaprobita propono, kaj ĝi aŭ malsukcesos aŭ silente retropaŝos al io, kion neniu flanko dokumentis.

Kontrolu la versiajn limojn, kiuj emeritigas malnovajn algoritmojn

La ŝarĝa skemo de Apple limigas DES, 3DES, SHA1-96, SHA1-160 kaj la Diffie-Hellman-grupojn 1, 2 kaj 5 al macOS-versioj antaŭ 26. Profilo transdonita el pli malnova disfalo povas ankoraŭ enhavi unu el tiuj valoroj kaj ankoraŭ konektiĝi al malnova enirejo, kaj tio estas ĝuste la kazo, kiam funkcianta agordo kaŝas emeritiĝan daton.

Akiru la subtenatajn Mac-versiojn kaj la proponan politikon, kiun la enirejo prizorgas, antaŭ ol konstrui la profilon. Poste elektu la komunaĵon kaj registru, kial la ceteraj opcioj estis ekskluditaj. Noto, ke „la enirejo ankoraŭ ofertas grupon 2 por malnovaj klientoj”, valoras pli ol ĉifra listo sen historio. Sen tiu noto la sekva recenzisto ne povas distingi intencan escepton de pretervido.

Kontrolu la aŭtentikigon en propra linio

Interkonsento pri propono ne riparas malĝustan servilan identecon. La identeco de la enirejo, la fido al la atestilo kaj la akreditaĵoj de uzanto aŭ aparato estas apartaj decidoj, kaj ĉiu povas malsukcesi dum la algoritmoj estas perfekte kunordigitaj. Ŝanĝi la subskriban algoritmon de atestilo ne estas la sama ago kiel elekti la IKE-ĉifran algoritmon, kvankam ambaŭ aperas en la sama revizio.

Tenu la atendatan servilan identecon apud la propono en la registro. Kiam konekto malsukcesas post atestila ŝanĝo, tiu paro diras al la sekva persono, ĉu la intertraktado aŭ la fida decido moviĝis unue.

Disponigu unu revision kaj inspektu, pri kio interkonsentiĝis

Uzu la subtenatan disdonan laborfluon de la organizo kaj registru la profilan identigilon, la revision, la celatajn Mac-versiojn kaj la kongruan enirejan politikon. Donu al aparatoj, kiuj ne povas konektiĝi, dokumentitan restarigan vojon, kaj evitu krei duan samnoman profilon, kies posedrajton neniu povas konstati.

Dum akcepto, inspektu la instalitan agordon kaj la intertraktitajn IKE- kaj Child-asociiĝojn per aprobitaj diagnoziloj. Poste devigu kontrolitan renovigon, ĉar la unua konekto pruvas nur, ke la komenca intertraktado funkciis; malkongruo de vivodaŭro kutime aperas ĉe la unua ŝlosilŝanĝo, longe post kiam la disfalo estis aprobita.

Tenu la akceptitan aron kun la revizia registro. Tiam la sekva macOS-ĝisdatigo aŭ enireja ŝanĝo havas bazlinion por kompari anstataŭ profilon, kiu nur hazarde konektiĝas hodiaŭ.