Mac IKEv2 profiil: määra mõlemad SA sõnastikud ja seejärel testi
IKE parameetrid päritakse Child SA poolt, kui see sõnastik puudub. Täida mõlemad, tõlgi nimed ja kontrolli, mida osapooled tegelikult läbi rääkisid.
Edukas ühendus tõestab vaid seda, et mõlemad otsad leidsid väärtuste komplekti, millega nad nõus on. Hallatav Mac IKEv2 profiil sisaldab kahte turvaassotsiatsiooni sõnastikku, lüüsil on oma ettepanekute loend ja ühendus õnnestub nende ühisosas, mille mõlemad pooled lubavad. Tehke allolevad kontrollid järjest ja peatuge seal, kus kaks otsa erinevad, selle asemel et lisada veel üks šifr ja vaadata, kas see aitab. Iga samm välistab profiilist erineva kihi.
Kontrolli mõlemat sõnastikku enne väärtuse muutmist
VPN kandevõime IKEv2 seadetes kirjeldab IKESecurityAssociationParameters IKE assotsiatsiooni ja ChildSecurityAssociationParameters kirjeldab Child SA-d. Apple'i skeem sätestab, et IKE parameetrid kehtivad ka Child SA kohta, kui teine sõnastik puudub. See pärimine on mugav ja just nii jõuab profiil väärtusteni, mida keegi teadlikult ei valinud.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Kirjuta mõlemad read kasutuselevõtu kirjesse ka siis, kui väärtused kattuvad. Siis näeb ülevaataja, et Child SA-d kaaluti, mitte ei päritud kogemata, ja hilisem muudatus ühes reas ei muuda vaikselt teist.
Kontrolli, mida iga võti tähendab, enne stringi kopeerimist
Neli võtit ei ole vahetatavad teise toote ettepanekustringiga. Algoritmide nimed sõltuvad rakendusest, seega tõlkige valitud komplekt iga poole dokumenteeritud süntaksi kaudu, selle asemel et kleepida strongSwan ettepanek Apple'i väljale.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Kasuta suurimat grupinumbrit” ei ole valikumeetod. Grupitähised nimetavad erinevaid konstruktsioone ja suurem number ei tähenda lihtsalt sama asja tugevamat versiooni. Laske lüüsi omanikul kinnitada kogu kombinatsioon, sest komplekt on tervikuna kehtiv või kehtetu. Kinnitatud šifr kinnitamata grupiga on kinnitamata ettepanek ja see kas ebaõnnestub või langeb vaikselt tagasi millelegi, mida kumbki pool ei dokumenteerinud.
Kontrolli versioonipiiranguid, mis vanad algoritmid pensionile saadavad
Apple'i kandevõime skeem piirab DES-i, 3DES-i, SHA1-96, SHA1-160 ja Diffie-Hellmani grupid 1, 2 ja 5 macOS-i versioonidega enne 26. Vanemast kasutuselevõtust üle kantud profiil võib endiselt sisaldada üht neist väärtustest ja endiselt vana lüüsiga ühenduda, ja see on täpselt see juhtum, kus töötav konfiguratsioon varjab kasutusest kõrvaldamise kuupäeva.
Hankige enne profiili koostamist toetatud Mac-i versioonid ja lüüsi hallatav ettepanekupoliitika. Seejärel valige ühisosa ja kirjutage üles, miks ülejäänud valikud välistati. Märkus „lüüs pakub vanadele klientidele endiselt gruppi 2” on väärtuslikum kui ajaloota šifriloend. Ilma selle märkuseta ei suuda järgmine ülevaataja eristada tahtlikku erandit tähelepanuta jätmisest.
Kontrolli autentimist eraldi real
Ettepaneku osas kokkuleppimine ei paranda vale serveri identiteeti. Lüüsi identiteet, sertifikaadi usaldus ja kasutaja või seadme mandaadid on eraldi otsused ning igaüks võib ebaõnnestuda, samal ajal kui algoritmid on täiuslikult joondatud. Sertifikaadi allkirjaalgoritmi muutmine ei ole sama tegu kui IKE krüpteerimisalgoritmi valimine, kuigi mõlemad esinevad samas ülevaates.
Hoidke oodatav serveri identiteet kirjes ettepaneku kõrval. Kui ühendus pärast sertifikaadi muutmist ebaõnnestub, ütleb see paar järgmisele inimesele, kas esimesena liikus läbirääkimine või usaldusotsus.
Võtke kasutusele üks redaktsioon ja kontrollige, mis läbi räägiti
Kasutage organisatsiooni toetatud levitusvoogu ja kirjutage üles profiili identifikaator, redaktsioon, siht-Mac-i versioonid ja vastav lüüsipoliitika. Andke seadmetele, mis ei saa ühenduda, dokumenteeritud taastetee, ja vältige teise sama nimega profiili loomist, mille omandit ei suuda keegi tuvastada.
Vastuvõtu ajal kontrollige paigaldatud konfiguratsiooni ning läbi räägitud IKE ja Child assotsiatsioone kinnitatud diagnostika abil. Seejärel sundige kontrollitud uuendus, sest esimene ühendus tõestab vaid, et esmane läbirääkimine töötas; eluea mittevastavus ilmneb tavaliselt esimesel võtmevahetusel, kaua pärast seda, kui kasutuselevõtt on kinnitatud.
Hoidke vastuvõetud komplekti redaktsioonikirje juures. Siis on järgmisel macOS-i uuendusel või lüüsi muudatusel võrdlusalus, mitte profiil, mis lihtsalt juhtumisi täna ühendub.