Perfil IKEv2 de Mac: define os dous dicionarios SA e despois proba

Unha conexión correcta só demostra que os dous extremos atoparon un conxunto de valores que aceptan. Un perfil IKEv2 de Mac xestionado leva dous dicionarios de asociación de seguridade, a pasarela ten a súa propia lista de propostas e a conexión establécese en calquera intersección que ambas as partes permitan. Fai as comprobacións seguintes en orde e detente onde os dous extremos non coincidan, en lugar de engadir outro cifrado para ver se axuda. Cada paso descarta unha capa distinta do perfil.

Comproba os dous dicionarios antes de editar un valor

Dentro dos axustes IKEv2 da carga VPN, IKESecurityAssociationParameters describe a asociación IKE e ChildSecurityAssociationParameters describe a Child SA. O esquema de Apple indica que os parámetros IKE tamén se aplican á Child SA cando falta o segundo dicionario. Esa herdanza é cómoda, e tamén é como un perfil acaba con valores que ninguén escolleu conscientemente.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Escribe as dúas filas no rexistro de despregamento aínda que os valores coincidan. Así un revisor pode ver que a Child SA se considerou en lugar de herdarse por accidente, e un cambio posterior nunha fila non altera silenciosamente a outra.

Comproba que significa cada clave antes de copiar unha cadea

As catro claves non son intercambiables cunha cadea de proposta doutro produto. Os nomes dos algoritmos dependen da implementación, así que traduce o conxunto escollido mediante a sintaxe documentada de cada parte en lugar de pegar unha proposta de strongSwan nun campo de Apple.

«Usa o número de grupo máis grande» non é un método de selección. Os identificadores de grupo designan construcións distintas, e un número máis alto non significa simplemente unha versión máis forte do mesmo. Fai que o propietario da pasarela aprobe a combinación completa, porque un conxunto é válido ou inválido no seu conxunto. Un cifrado aprobado cun grupo non aprobado é unha proposta non aprobada, e ou fallará ou volverá silenciosamente a algo que ningunha das dúas partes documentou.

Comproba os límites de versión que retiran os algoritmos antigos

O esquema de carga de Apple restrinxe DES, 3DES, SHA1-96, SHA1-160 e os grupos 1, 2 e 5 de Diffie-Hellman ás versións de macOS anteriores á 26. Un perfil trasladado desde un despregamento máis antigo pode conter aínda un deses valores e seguir conectando cunha pasarela antiga, que é xustamente o caso no que unha configuración funcional agocha unha data de retirada.

Obtén as versións de Mac compatibles e a política de propostas que mantén a pasarela antes de construír o perfil. Despois escolle a intersección e rexistra por que se excluíron as opcións restantes. Unha nota que diga «a pasarela aínda ofrece o grupo 2 para clientes antigos» vale máis que unha lista de cifrados sen historial. Sen esa nota, o seguinte revisor non pode distinguir unha excepción deliberada dun descoido.

Comproba a autenticación na súa propia liña

O acordo sobre unha proposta non arranxa unha identidade de servidor incorrecta. A identidade da pasarela, a confianza no certificado e as credenciais do usuario ou do dispositivo son decisións separadas, e cada unha pode fallar mentres os algoritmos están perfectamente aliñados. Cambiar o algoritmo de sinatura dun certificado non é o mesmo acto que escoller o algoritmo de cifrado IKE, aínda que ambos aparezan na mesma revisión.

Mantén a identidade de servidor esperada xunto á proposta no rexistro. Cando unha conexión falla tras un cambio de certificado, ese emparellamento di á seguinte persoa se se moveu primeiro a negociación ou a decisión de confianza.

Desprega unha revisión e inspecciona que se negociou

Usa o fluxo de distribución compatible da organización e rexistra o identificador do perfil, a revisión, as versións de Mac obxectivo e a política de pasarela correspondente. Dá aos dispositivos que non poden conectarse un camiño de recuperación documentado, e evita crear un segundo perfil co mesmo nome cuxa propiedade ninguén poida establecer.

Durante a aceptación, inspecciona a configuración instalada e as asociacións IKE e Child negociadas mediante diagnósticos aprobados. Despois forza unha renovación controlada, porque a primeira conexión só demostra que a negociación inicial funcionou; unha discrepancia de duración adoita aparecer na primeira renovación de claves, moito despois de que o despregamento se aprobase.

Mantén o conxunto aceptado xunto ao rexistro de revisión. Así a próxima actualización de macOS ou cambio de pasarela ten unha liña base coa que comparar en lugar dun perfil que simplemente resulta que hoxe conecta.