نمایه IKEv2 در Mac: هر دو واژه‌نامه SA را تنظیم کنید، سپس آزمایش کنید
پارامترهای IKE زمانی که آن واژه‌نامه وجود ندارد توسط Child SA به ارث می‌رسند. هر دو را پر کنید، نام‌ها را ترجمه کنید و بررسی کنید که طرفین واقعاً بر چه چیزی توافق کرده‌اند.
اتصال موفق فقط ثابت می‌کند که هر دو طرف مجموعه‌ای از مقادیر را یافته‌اند که می‌پذیرند. نمایه مدیریت‌شده IKEv2 روی Mac دو واژه‌نامه انجمن امنیتی دارد، دروازه فهرست پیشنهادهای خودش را دارد و اتصال در هر اشتراکی که دو طرف اجازه دهند برقرار می‌شود. بررسی‌های زیر را به ترتیب انجام دهید و هر جا دو طرف اختلاف داشتند متوقف شوید، به‌جای افزودن رمزنگار دیگری برای دیدن اینکه کمک می‌کند یا نه. هر گام لایه‌ای متفاوت از نمایه را کنار می‌گذارد.
پیش از ویرایش هر مقدار، هر دو واژه‌نامه را بررسی کنید
در تنظیمات IKEv2 بار VPN، IKESecurityAssociationParameters انجمن IKE را توصیف می‌کند و ChildSecurityAssociationParameters انجمن Child SA را. طرح‌واره Apple می‌گوید پارامترهای IKE وقتی واژه‌نامه دوم وجود ندارد بر Child SA هم اعمال می‌شوند. این ارث‌بری راحت است و دقیقاً همین‌طور است که یک نمایه به مقادیری می‌رسد که هیچ‌کس آگاهانه انتخاب نکرده است.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>هر دو سطر را حتی وقتی مقادیر یکسان‌اند در سابقه استقرار بنویسید. آنگاه بازبین می‌تواند ببیند که Child SA بررسی شده است نه آنکه تصادفی به ارث رسیده باشد، و تغییر بعدی در یک سطر دیگری را بی‌صدا تغییر نمی‌دهد.
پیش از کپی کردن یک رشته، بررسی کنید هر کلید چه معنایی دارد
چهار کلید با رشته پیشنهاد محصولی دیگر قابل جایگزینی نیستند. نام الگوریتم‌ها به پیاده‌سازی وابسته‌اند، پس مجموعه انتخاب‌شده را با نحو مستند هر طرف ترجمه کنید، نه آنکه پیشنهاد strongSwan را در یک فیلد Apple بچسبانید.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«بزرگ‌ترین شماره گروه را به کار ببرید» روش انتخاب نیست. شناسه‌های گروه بیانگر ساختارهای متفاوتی هستند و شماره بالاتر لزوماً به معنای نسخه قوی‌تر همان چیز نیست. مالک دروازه باید ترکیب کامل را تأیید کند، چون یک مجموعه به‌عنوان یک کل معتبر یا نامعتبر است. رمزنگار تأییدشده با گروه تأییدنشده یک پیشنهاد تأییدنشده است و یا شکست می‌خورد یا بی‌صدا به چیزی عقب‌نشینی می‌کند که هیچ طرفی مستند نکرده است.
محدودیت‌های نسخه‌ای را که الگوریتم‌های قدیمی را بازنشسته می‌کنند بررسی کنید
طرح‌واره بار Apple الگوریتم‌های DES، 3DES، SHA1-96، SHA1-160 و گروه‌های 1، 2 و 5 دیفیه-هلمن را به نسخه‌های macOS پیش از 26 محدود می‌کند. نمایه‌ای که از استقرار قدیمی‌تری منتقل شده ممکن است هنوز یکی از آن مقادیر را داشته باشد و همچنان به دروازه قدیمی وصل شود، و این دقیقاً همان حالتی است که یک پیکربندی کارا تاریخ بازنشستگی را پنهان می‌کند.
پیش از ساختن نمایه، نسخه‌های پشتیبانی‌شده Mac و سیاست پیشنهادی نگه‌داشته‌شده در دروازه را به‌دست آورید. سپس اشتراک را انتخاب کنید و ثبت کنید چرا گزینه‌های باقی‌مانده کنار گذاشته شدند. یادداشتی که می‌گوید «دروازه هنوز گروه 2 را برای کلاینت‌های قدیمی ارائه می‌دهد» از فهرست رمزنگار بدون تاریخچه ارزشمندتر است. بدون آن یادداشت، بازبین بعدی نمی‌تواند یک استثنای عمدی را از یک غفلت تشخیص دهد.
احراز هویت را در سطر جداگانه بررسی کنید
توافق بر یک پیشنهاد هویت اشتباه سرور را اصلاح نمی‌کند. هویت دروازه، اعتماد به گواهی و اعتبارنامه‌های کاربر یا دستگاه تصمیم‌های جدایی هستند و هر یک می‌تواند شکست بخورد در حالی که الگوریتم‌ها کاملاً هم‌ترازند. تغییر الگوریتم امضای گواهی همان کنش انتخاب الگوریتم رمزنگاری IKE نیست، هرچند هر دو در یک بازبینی دیده می‌شوند.
هویت مورد انتظار سرور را کنار پیشنهاد در سابقه نگه دارید. وقتی اتصال پس از تغییر گواهی شکست می‌خورد، این جفت به نفر بعدی می‌گوید ابتدا مذاکره جابه‌جا شد یا تصمیم اعتماد.
یک بازنگری را مستقر کنید و بررسی کنید چه چیزی مذاکره شد
از جریان توزیع پشتیبانی‌شده سازمان استفاده کنید و شناسه نمایه، بازنگری، نسخه‌های هدف Mac و سیاست دروازه مطابق را ثبت کنید. به دستگاه‌هایی که نمی‌توانند وصل شوند مسیر بازیابی مستند بدهید و از ساختن نمایه دومی با همان نام که هیچ‌کس نمی‌تواند مالکیت آن را اثبات کند پرهیز کنید.
در هنگام پذیرش، پیکربندی نصب‌شده و انجمن‌های مذاکره‌شده IKE و Child را با ابزارهای تشخیصی تأییدشده بررسی کنید. سپس یک تمدید کنترل‌شده را اجبار کنید، چون اتصال اول فقط ثابت می‌کند مذاکره اولیه کار کرده است؛ ناسازگاری طول عمر معمولاً در نخستین تغییر کلید، مدت طولانی پس از تأیید استقرار، ظاهر می‌شود.
مجموعه پذیرفته‌شده را همراه سابقه بازنگری نگه دارید. آنگاه به‌روزرسانی بعدی macOS یا تغییر دروازه یک خط پایه برای مقایسه دارد، به‌جای نمایه‌ای که امروز فقط تصادفی وصل می‌شود.