Perfil IKEv2 de Mac: define ambos diccionarios SA y luego prueba

Una conexión correcta solo demuestra que ambos extremos encontraron un conjunto de valores que aceptan. Un perfil IKEv2 de Mac gestionado lleva dos diccionarios de asociación de seguridad, la puerta de enlace tiene su propia lista de propuestas y la conexión se establece en cualquier intersección que ambas partes permitan. Realiza las comprobaciones siguientes en orden y detente donde los dos extremos no coincidan, en lugar de añadir otro cifrado para ver si ayuda. Cada paso descarta una capa distinta del perfil.

Comprueba ambos diccionarios antes de editar un valor

Dentro de los ajustes IKEv2 de la carga VPN, IKESecurityAssociationParameters describe la asociación IKE y ChildSecurityAssociationParameters describe la Child SA. El esquema de Apple indica que los parámetros IKE también se aplican a la Child SA cuando falta el segundo diccionario. Esa herencia es cómoda, y también es cómo un perfil acaba con valores que nadie eligió conscientemente.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Escribe ambas filas en el registro de despliegue aunque los valores coincidan. Así un revisor puede ver que la Child SA se consideró en lugar de heredarse por accidente, y un cambio posterior en una fila no altera silenciosamente la otra.

Comprueba qué significa cada clave antes de copiar una cadena

Las cuatro claves no son intercambiables con una cadena de propuesta de otro producto. Los nombres de los algoritmos dependen de la implementación, así que traduce el conjunto elegido mediante la sintaxis documentada de cada parte en lugar de pegar una propuesta de strongSwan en un campo de Apple.

«Usa el número de grupo más grande» no es un método de selección. Los identificadores de grupo designan construcciones distintas, y un número más alto no significa simplemente una versión más fuerte de lo mismo. Haz que el propietario de la puerta de enlace apruebe la combinación completa, porque un conjunto es válido o inválido en su totalidad. Un cifrado aprobado con un grupo no aprobado es una propuesta no aprobada, y o fallará o volverá silenciosamente a algo que ninguna de las dos partes documentó.

Comprueba los límites de versión que retiran los algoritmos antiguos

El esquema de carga de Apple restringe DES, 3DES, SHA1-96, SHA1-160 y los grupos 1, 2 y 5 de Diffie-Hellman a versiones de macOS anteriores a la 26. Un perfil trasladado desde un despliegue más antiguo puede contener todavía uno de esos valores y seguir conectando con una puerta de enlace antigua, que es justo el caso en que una configuración funcional oculta una fecha de retirada.

Obtén las versiones de Mac compatibles y la política de propuestas que mantiene la puerta de enlace antes de construir el perfil. Después elige la intersección y registra por qué se excluyeron las opciones restantes. Una nota que diga «la puerta de enlace todavía ofrece el grupo 2 para clientes antiguos» vale más que una lista de cifrados sin historial. Sin esa nota, el siguiente revisor no puede distinguir una excepción deliberada de un descuido.

Comprueba la autenticación en su propia línea

El acuerdo sobre una propuesta no repara una identidad de servidor incorrecta. La identidad de la puerta de enlace, la confianza en el certificado y las credenciales del usuario o del dispositivo son decisiones separadas, y cada una puede fallar mientras los algoritmos están perfectamente alineados. Cambiar el algoritmo de firma de un certificado no es el mismo acto que elegir el algoritmo de cifrado IKE, aunque ambos aparezcan en la misma revisión.

Mantén la identidad de servidor esperada junto a la propuesta en el registro. Cuando una conexión falla tras un cambio de certificado, ese emparejamiento dice a la siguiente persona si se movió primero la negociación o la decisión de confianza.

Despliega una revisión e inspecciona qué se negoció

Usa el flujo de distribución compatible de la organización y registra el identificador del perfil, la revisión, las versiones de Mac objetivo y la política de puerta de enlace correspondiente. Da a los dispositivos que no pueden conectarse una ruta de recuperación documentada, y evita crear un segundo perfil con el mismo nombre cuya propiedad nadie pueda establecer.

Durante la aceptación, inspecciona la configuración instalada y las asociaciones IKE y Child negociadas mediante diagnósticos aprobados. Luego fuerza una renovación controlada, porque la primera conexión solo demuestra que la negociación inicial funcionó; una discrepancia de duración suele aparecer en la primera renovación de claves, mucho después de que el despliegue se haya aprobado.

Mantén el conjunto aceptado junto al registro de revisión. Así la próxima actualización de macOS o cambio de puerta de enlace tiene una línea base con la que comparar en lugar de un perfil que simplemente resulta que hoy conecta.