Mac IKEv2 -profiili: aseta molemmat SA-sanakirjat ja testaa sitten
IKE-parametrit peritään Child SA:lle, kun kyseinen sanakirja puuttuu. Täytä molemmat, käännä nimet ja tarkista, mitä osapuolet todella neuvottelivat.
Onnistunut yhteys todistaa vain, että molemmat päät löysivät joukon arvoja, jotka ne hyväksyvät. Hallittu Mac IKEv2 -profiili sisältää kaksi tietoturvayhdistyksen sanakirjaa, yhdyskäytävällä on oma ehdotusluettelonsa ja yhteys onnistuu missä tahansa leikkauksessa, jonka molemmat osapuolet sallivat. Tee alla olevat tarkistukset järjestyksessä ja pysähdy siihen, missä kaksi päätä ovat eri mieltä, sen sijaan että lisäisit vielä yhden salauksen ja katsoisit auttaako se. Jokainen vaihe sulkee pois eri kerroksen profiilista.
Tarkista molemmat sanakirjat ennen arvon muokkaamista
VPN-hyötykuorman IKEv2-asetuksissa IKESecurityAssociationParameters kuvaa IKE-yhdistystä ja ChildSecurityAssociationParameters kuvaa Child SA:ta. Applen skeema ilmoittaa, että IKE-parametrit koskevat myös Child SA:ta, kun toinen sanakirja puuttuu. Tämä periytyminen on kätevää, ja juuri niin profiiliin päätyy arvoja, joita kukaan ei valinnut tietoisesti.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Kirjaa molemmat rivit käyttöönottotietueeseen, vaikka arvot täsmäisivät. Silloin katselmoija näkee, että Child SA harkittiin eikä peritty vahingossa, eikä myöhempi muutos yhdellä rivillä muuta toista hiljaa.
Tarkista, mitä kukin avain tarkoittaa ennen merkkijonon kopioimista
Neljä avainta eivät ole vaihdettavissa toisen tuotteen ehdotusmerkkijonon kanssa. Algoritmien nimet riippuvat toteutuksesta, joten käännä valittu kokonaisuus kummankin osapuolen dokumentoidulla syntaksilla sen sijaan, että liittäisit strongSwan-ehdotuksen Applen kenttään.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Käytä suurinta ryhmänumeroa” ei ole valintamenetelmä. Ryhmätunnukset nimeävät erilaisia rakenteita, eikä suurempi numero tarkoita yksinkertaisesti saman asian vahvempaa versiota. Anna yhdyskäytävän omistajan hyväksyä koko yhdistelmä, koska kokonaisuus on kelvollinen tai kelvoton kokonaisuutena. Hyväksytty salaus ilman hyväksyttyä ryhmää on hyväksymätön ehdotus, ja se joko epäonnistuu tai putoaa hiljaa johonkin, jota kumpikaan osapuoli ei dokumentoinut.
Tarkista versiorajoitukset, jotka poistavat vanhat algoritmit käytöstä
Applen hyötykuormaskeema rajoittaa DESin, 3DESin, SHA1-96:n, SHA1-160:n ja Diffie-Hellman-ryhmät 1, 2 ja 5 macOS-versioihin ennen versiota 26. Vanhemmasta käyttöönottosta siirretty profiili voi yhä sisältää yhden näistä arvoista ja yhä yhdistää vanhaan yhdyskäytävään, ja juuri siinä tapauksessa toimiva kokoonpano kätkee käytöstä poiston päivämäärän.
Hanki tuetut Mac-versiot ja yhdyskäytävän ylläpitämä ehdotuskäytäntö ennen profiilin rakentamista. Valitse sitten leikkaus ja kirjaa, miksi jäljelle jääneet vaihtoehdot suljettiin pois. Merkintä „yhdyskäytävä tarjoaa yhä ryhmää 2 vanhoille asiakkaille” on arvokkaampi kuin salausluettelo ilman historiaa. Ilman sitä merkintää seuraava katselmoija ei voi erottaa tarkoituksellista poikkeusta huolimattomuudesta.
Tarkista todennus omalla rivillään
Yhteisymmärrys ehdotuksesta ei korjaa väärää palvelimen identiteettiä. Yhdyskäytävän identiteetti, varmenteeseen luottaminen ja käyttäjän tai laitteen tunnistetiedot ovat erillisiä päätöksiä, ja kukin voi epäonnistua, vaikka algoritmit olisivat täydellisesti linjassa. Varmenteen allekirjoitusalgoritmin vaihtaminen ei ole sama teko kuin IKE-salausalgoritmin valitseminen, vaikka molemmat näkyvät samassa katselmoinnissa.
Pidä odotettu palvelimen identiteetti ehdotuksen vieressä tietueessa. Kun yhteys epäonnistuu varmenteen vaihdon jälkeen, tuo pari kertoo seuraavalle henkilölle, kumpi liikkui ensin: neuvottelu vai luottamuspäätös.
Ota käyttöön yksi revisio ja tutki, mitä neuvoteltiin
Käytä organisaation tuettua jakelutyönkulkua ja kirjaa profiilin tunniste, revisio, kohde-Mac-versiot ja vastaava yhdyskäytäväkäytäntö. Anna laitteille, jotka eivät voi yhdistää, dokumentoitu palautumispolku, ja vältä toisen samannimisen profiilin luomista, jonka omistajuutta kukaan ei pysty todentamaan.
Hyväksynnän aikana tutki asennettu kokoonpano ja neuvotellut IKE- ja Child-yhdistykset hyväksytyillä diagnostiikkatyökaluilla. Pakota sitten valvottu uusinta, koska ensimmäinen yhteys todistaa vain, että alkuperäinen neuvottelu toimi; eliniän poikkeama näkyy yleensä ensimmäisessä avainten vaihdossa, kauan sen jälkeen kun käyttöönotto on hyväksytty.
Pidä hyväksytty kokonaisuus revisiotietueen yhteydessä. Silloin seuraavalla macOS-päivityksellä tai yhdyskäytävän muutoksella on vertailukohta, eikä profiilia, joka sattuu vain tänään yhdistämään.