Mac IKEv2 profila: ezarri bi SA hiztegiak, eta gero probatu
IKE parametroak Child SA-k heredatzen ditu hiztegi hori falta denean. Bete biak, itzuli izenak eta egiaztatu pareek benetan zer negoziatu zuten.
Konexio arrakastatsuak soilik frogatzen du bi muturrek onartzen dituzten balio multzo bat aurkitu dutela. Kudeatutako Mac IKEv2 profilak segurtasun-elkartze hiztegi bi daramatza, atebideak bere proposamen-zerrenda du, eta konexioak arrakasta du bi aldeek onartzen duten ebakiduran. Egin beheko egiaztapenak ordenan, eta gelditu bi muturrak bat ez datozen lekuan, beste zifratze bat gehitu beharrean ea laguntzen duen ikusteko. Urrats bakoitzak profilaren geruza desberdin bat baztertzen du.
Egiaztatu bi hiztegiak balio bat editatu aurretik
VPN kargaren IKEv2 ezarpenetan, IKESecurityAssociationParameters-k IKE elkartzea deskribatzen du eta ChildSecurityAssociationParameters-k Child SA. Apple-ren eskemak dio IKE parametroak Child SA-ri ere aplikatzen zaizkiola bigarren hiztegia falta denean. Oinordetza hori erosoa da, eta horrela amaitzen da profila inork kontzienteki aukeratu ez dituen balioekin.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Idatzi bi errenkadak zabalkunde-erregistroan balioak bat datozenenean ere. Horrela berrikusleak ikus dezake Child SA kontuan hartu zela, ez ustekabean heredatu, eta geroagoko aldaketa batek errenkada batean ez du isilpean bestea aldatzen.
Egiaztatu gako bakoitzak zer esan nahi duen kate bat kopiatu aurretik
Lau gakoak ez dira trukagarriak beste produktu bateko proposamen-katearekin. Algoritmoen izenak inplementazioaren araberakoak dira, beraz itzuli hautatutako multzoa alde bakoitzaren dokumentatutako sintaxiaren bidez, strongSwan proposamena Apple eremu batean itsatsi beharrean.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«Erabili talde-zenbaki handiena» ez da hautatzeko metodo bat. Talde-identifikatzaileek eraikuntza desberdinak izendatzen dituzte, eta zenbaki handiagoak ez du soilik gauza beraren bertsio indartsuagoa esan nahi. Egin atebidearen jabeak konbinazio osoa onar dezan, multzo bat osotasunean baliozkoa edo baliogabea delako. Onartutako zifratze bat onartu gabeko talde batekin onartu gabeko proposamen bat da, eta huts egingo du edo isilpean atzera egingo du inork dokumentatu ez zuen zerbaitetara.
Egiaztatu algoritmo zaharrak erretiratzea dakarten bertsio-mugak
Apple-ren karga-eskemak DES, 3DES, SHA1-96, SHA1-160 eta Diffie-Hellman 1, 2 eta 5 taldeak 26 aurreko macOS bertsioetara mugatzen ditu. Zabalkunde zahar batetik eramandako profilek balio horietako bat eduki dezake oraindik eta atebide zahar batera konekta daiteke, eta horixe da konfigurazio erabilgarri batek erretiratze-data ezkutatzen duen kasua.
Lortu onartutako Mac bertsioak eta atebideak mantentzen duen proposamen-politika profila eraiki aurretik. Ondoren aukeratu ebakidura eta erregistratu gainerako aukerak zergatik baztertu ziren. «Atebideak oraindik 2 taldea eskaintzen die bezero zaharrei» dioen oharrak historia gabeko zifratze-zerrendak baino balio handiagoa du. Ohar hori gabe, hurrengo berrikusleak ezin du nahita egindako salbuespena axolagabekeria batetik bereizi.
Egiaztatu autentifikazioa bere lerro propioan
Proposamen batean adostea ez da zerbitzari-identitate oker bat konpontzen. Atebidearen identitatea, ziurtagirian konfiantza eta erabiltzailearen edo gailuaren kredentzialak erabaki bereiziak dira, eta bakoitzak huts egin dezake algoritmoak erabat lerratuta daudela. Ziurtagiri baten sinadura-algoritmoa aldatzea ez da IKE zifratze-algoritmoa hautatzearen ekintza bera, nahiz eta biak berrikuspen berean agertu.
Eduki espero den zerbitzari-identitatea proposamenaren ondoan erregistroan. Ziurtagiri-aldaketa baten ondoren konexioak huts egiten duenean, pare horrek hurrengo pertsonari esaten dio negoziazioa ala konfiantza-erabakia mugitu zen lehenengo.
Zabaldu berrikuspen bat eta ikuskatu zer negoziatu zen
Erabili erakundeak onartutako banaketa-fluxua eta erregistratu profilaren identifikatzailea, berrikuspena, helburuko Mac bertsioak eta dagokion atebide-politika. Eman konektatu ezin diren gailuei dokumentatutako berreskuratze-bide bat, eta saihestu inork jabegoa frogatu ezin duen izen bereko bigarren profil bat sortzea.
Onarpenaren zehar, ikuskatu instalatutako konfigurazioa eta negoziatutako IKE eta Child elkartzeak onartutako diagnostikoen bidez. Gero behartu berritze kontrolatu bat, lehen konexioak hasierako negoziazioa funtzionatu zuela soilik frogatzen duelako; bizitzaren desadostasuna lehen gako-aldaketan agertu ohi da, zabalkundea onartu eta askoz geroago.
Eduki onartutako multzoa berrikuspen-erregistroarekin. Orduan hurrengo macOS eguneraketak edo atebide-aldaketak alderatzeko oinarria izango du, gaur egun kasualitatez konektatzen duen profil bat izan beharrean.