Mac IKEv2-profyl: set beide SA-woordenboeken, test dan
IKE-parameters wurde troch de Child SA fererve as dat woordenboek ûntbrekt. Folje beide yn, oersette de nammen en kontrolearje wat de pearen eins ûnderhannele hawwe.
In slagge ferbining bewist allinnich dat beide einpuntten in set wearden fûn hawwe dy't se akseptearje. In beheard Mac IKEv2-profyl draacht twa befeiligingsassosjaasje-woordenboeken, de poarte hat syn eigen foarstel-list, en de ferbining slagget op hokker krúspunt beide kanten tastean. Wurkje de kontrôles hjirûnder yn folchoarder ôf, en stop dêr't de beide einpuntten ferskille ynstee fan noch in sifer ta te foegjen om te sjen oft it helpt. Eltse stap slút in oare laach fan it profyl út.
Kontrolearje beide woordenboeken foar't jo in wearde bewurkje
Binnen de IKEv2-ynstellingen fan 'e VPN-load beskriuwt IKESecurityAssociationParameters de IKE-assosjaasje en ChildSecurityAssociationParameters beskriuwt de Child SA. Apple syn skema stelt dat de IKE-parameters ek jilde foar de Child SA as it twadde woordenboek ûntbrekt. Dy erfenis is handich, en sa komt in profyl krekt oan wearden dy't nimmen bewust keazen hat.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Skriuw beide rigen yn it útrôlrekord, sels as de wearden oerienkomme. Dan kin in beoardieler sjen dat de Child SA beskôge is ynstee fan by ûngelok fererve, en in lettere wiziging yn ien rige feroaret de oare net stil.
Kontrolearje wat elke kaai betsjut foar't jo in tekenrige kopiearje
De fjouwer kaaien binne net útwikselber mei in foarstelrige fan in oar produkt. De algoritmenammen binne ôfhinklik fan 'e ymplemintaasje, oersette dêrom de keazen set fia de dokumintearre syntaksis fan elke kant ynstee fan in strongSwan-foarstel yn in Apple-fjild te plakken.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Brûk it grutste groepsnûmer” is gjin seleksjemetoade. Groepsidentifikaasjes neame ferskate konstruksjes, en in heger nûmer betsjut net gewoan in sterker ferzje fan itselde ding. Lit de eigner fan 'e poarte de folsleine kombinaasje goedkarre, want in set is as gehiel jildich of ûnjildich. In goedkarde sifer mei in net-goedkarde groep is in net-goedkard foarstel, en it sil óf mislearje óf stil weromfalle op eat dat gjin fan beide kanten dokumintearre hat.
Kontrolearje de ferzjelimiten dy't âlde algoritmen ôffiere
Apple syn loadskema beheint DES, 3DES, SHA1-96, SHA1-160 en de Diffie-Hellman-groepen 1, 2 en 5 ta macOS-ferzjes foar 26. In profyl dat út in âldere útrôl oernommen is, kin noch ien fan dy wearden befetsje en noch ferbine mei in âlde poarte, en dat is krekt it gefal wêr't in wurkjende konfiguraasje in ôffierdatum ferberget.
Krij de stipe Mac-ferzjes en it foarstelbelied dat de poarte ûnderhâldt foar't jo it profyl bouwe. Kies dan it krúspunt en skriuw op wêrom't de oerbleaune opsjes útsletten binne. In notysje „de poarte biedt noch groep 2 foar âlde kliïnten” is mear wurdich as in siferlist sûnder skiednis. Sûnder dy notysje kin de folgjende beoardieler in bewuste útsûndering net fan in fergettenheid ûnderskiede.
Kontrolearje de autentikaasje op syn eigen rigel
Ienriedigens oer in foarstel reparearret gjin ferkearde serveridentiteit. Poarte-identiteit, fertrouwen yn it sertifikaat en de oanmeldgegevens fan brûker of apparaat binne aparte besluten, en elk kin mislearje wylst de algoritmen perfekt ôfstimd binne. It feroarjen fan it tekenset-algoritme fan in sertifikaat is net deselde die as it kiezen fan it IKE-fersiferingsalgoritme, ek al ferskine beide yn deselde beoardieling.
Hâld de ferwachte serveridentiteit njonken it foarstel yn it rekord. As in ferbining mislearret nei in sertifikaatwiziging, fertelt dat pear de folgjende persoan oft de ûnderhanneling of it fertrouwensbeslút earst beweegde.
Rôl ien revyzje út en ynspektearje wat ûnderhannele is
Brûk de stipe distribúsjewurkwize fan 'e organisaasje en skriuw de profylidentifikaasje, de revyzje, de doelmakke Mac-ferzjes en it byhearrende poartebelied op. Jou apparaten dy't net ferbine kinne in dokumintearre herstelpaad, en foarkom it meitsjen fan in twadde profyl mei deselde namme wêrfan't nimmen it eigendom fêststelle kin.
Ynspektearje by de akseptaasje de ynstallearre konfiguraasje en de ûnderhannele IKE- en Child-assosjaasjes fia goedkarde diagnostyk. Twing dan in kontrolearre fernijing ôf, want de earste ferbining bewist allinnich dat de earste ûnderhanneling wurke; in libbensdoer-ôfwiking ferskynt meast by de earste kaaiwiksel, lang nei't de útrôl goedkard is.
Hâld de akseptearre set by it revyzjerekord. Dan hat de folgjende macOS-ferzje of poartewiziging in basisline om mei te fergelykjen ynstee fan in profyl dat hjoed gewoan tafallich ferbynt.