Mac IKEv2 પ્રોફાઇલ: બંને SA શબ્દકોશ સેટ કરો, પછી પરીક્ષણ કરો
જ્યારે તે શબ્દકોશ ગેરહાજર હોય ત્યારે IKE પરિમાણો Child SA દ્વારા વારસાગત મળે છે. બંને ભરો, નામોનું ભાષાંતર કરો અને સમકક્ષો ખરેખર શું વાટાઘાટ કર્યું તે તપાસો.
સફળ કનેક્શન ફક્ત એ સાબિત કરે છે કે બંને છેડાએ એવા મૂલ્યોનો સમૂહ શોધ્યો છે જે તેઓ સ્વીકારે છે. મેનેજ કરેલ Mac IKEv2 પ્રોફાઇલમાં બે સિક્યુરિટી-એસોસિએશન શબ્દકોશ હોય છે, ગેટવેની પોતાની દરખાસ્ત-યાદી હોય છે, અને બંને બાજુએ મંજૂર કરેલા કોઈપણ છેદ પર કનેક્શન સફળ થાય છે. નીચેની તપાસો ક્રમમાં કરો, અને બીજું સાઇફર ઉમેરીને તે મદદ કરે છે કે નહીં તે જોવાને બદલે બંને છેડા જ્યાં અસહમત હોય ત્યાં જ અટકો. દરેક પગલું પ્રોફાઇલનું અલગ સ્તર બાકાત કરે છે.
કોઈ મૂલ્ય સંપાદિત કરતાં પહેલાં બંને શબ્દકોશ તપાસો
VPN પેલોડની IKEv2 સેટિંગ્સમાં, IKESecurityAssociationParameters IKE એસોસિએશનનું વર્ણન કરે છે અને ChildSecurityAssociationParameters Child SAનું વર્ણન કરે છે. Appleની સ્કીમા જણાવે છે કે જ્યારે બીજો શબ્દકોશ ગેરહાજર હોય ત્યારે IKE પરિમાણો Child SAને પણ લાગુ પડે છે. તે વારસો અનુકૂળ છે, અને એ જ રીતે પ્રોફાઇલમાં એવા મૂલ્યો રહી જાય છે જે કોઈએ સભાનપણે પસંદ કર્યા નથી.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>મૂલ્યો મેળ ખાય તો પણ બંને પંક્તિઓ ડિપ્લોયમેન્ટ રેકોર્ડમાં લખો. પછી સમીક્ષક જોઈ શકે કે Child SA ધ્યાનમાં લેવાયું છે, અજાણતાં વારસાગત મળ્યું નથી, અને એક પંક્તિમાં પછીનો ફેરફાર બીજીને ચૂપચાપ બદલતો નથી.
સ્ટ્રિંગ કોપી કરતાં પહેલાં દરેક કીનો અર્થ તપાસો
ચાર કી બીજા ઉત્પાદનની દરખાસ્ત-સ્ટ્રિંગ સાથે અદલાબદલી કરી શકાય તેવી નથી. અલ્ગોરિધમના નામ અમલીકરણ-આધારિત છે, તેથી Appleના ક્ષેત્રમાં strongSwan દરખાસ્ત પેસ્ટ કરવાને બદલે દરેક બાજુની દસ્તાવેજી સિન્ટેક્સ દ્વારા પસંદ કરેલો સમૂહ ભાષાંતર કરો.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
“સૌથી મોટો જૂથ નંબર વાપરો” એ પસંદગીની પદ્ધતિ નથી. જૂથ ઓળખકર્તાઓ જુદી જુદી રચનાઓ દર્શાવે છે, અને મોટો નંબર એ સહજ રીતે એની જ વસ્તુનું વધુ મજબૂત સંસ્કરણ નથી. ગેટવેના માલિક પાસે સંપૂર્ણ સંયોજન મંજૂર કરાવો, કારણ કે સમૂહ સંપૂર્ણ રૂપે માન્ય કે અમાન્ય હોય છે. મંજૂર ન કરેલા જૂથ સાથેનું મંજૂર સાઇફર અમાન્ય દરખાસ્ત છે, અને તે કાં તો નિષ્ફળ જશે અથવા ચૂપચાપ એવી વસ્તુ પર પાછું જશે જે કોઈ પણ બાજુએ દસ્તાવેજ કરી નથી.
જૂના અલ્ગોરિધમને નિવૃત્ત કરતી આવૃત્તિ મર્યાદાઓ તપાસો
Apple પેલોડ સ્કીમા DES, 3DES, SHA1-96, SHA1-160 અને Diffie-Hellman જૂથ 1, 2 અને 5ને 26 પહેલાંની macOS આવૃત્તિઓ સુધી મર્યાદિત કરે છે. જૂના ડિપ્લોયમેન્ટમાંથી લાવેલી પ્રોફાઇલમાં હજી પણ એ મૂલ્યોમાંથી એક હોઈ શકે અને હજી પણ જૂના ગેટવે સાથે જોડાઈ શકે, અને એ જ એવો કિસ્સો છે જ્યાં કાર્યકારી રૂપરેખા નિવૃત્તિની તારીખ છુપાવે છે.
પ્રોફાઇલ બનાવતાં પહેલાં સમર્થિત Mac આવૃત્તિઓ અને ગેટવે જે દરખાસ્ત નીતિ જાળવે છે તે મેળવો. પછી છેદ પસંદ કરો અને બાકીના વિકલ્પો કેમ બાકાત કરાયા તે નોંધો. “ગેટવે જૂના ક્લાયન્ટ માટે હજી જૂથ 2 આપે છે” એવી નોંધ ઇતિહાસ વગરની સાઇફર-યાદી કરતાં વધુ મૂલ્યવાન છે. તે નોંધ વગર, આગલો સમીક્ષક ઇરાદાપૂર્વકનો અપવાદ અને ભૂલચૂક વચ્ચે ભેદ કરી શકતો નથી.
પ્રમાણીકરણને તેની અલગ લાઇનમાં તપાસો
દરખાસ્ત પર સહમતિ ખોટી સર્વર ઓળખ સુધારતી નથી. ગેટવે ઓળખ, પ્રમાણપત્રમાં વિશ્વાસ અને વપરાશકર્તા કે ઉપકરણના ઓળખપત્રો અલગ નિર્ણયો છે, અને અલ્ગોરિધમ સંપૂર્ણ મેળ ખાતા હોવા છતાં દરેક નિષ્ફળ જઈ શકે છે. પ્રમાણપત્રનું સહી અલ્ગોરિધમ બદલવું એ IKE એન્ક્રિપ્શન અલ્ગોરિધમ પસંદ કરવાની સમાન ક્રિયા નથી, જોકે બંને એક જ સમીક્ષામાં દેખાય છે.
અપેક્ષિત સર્વર ઓળખ રેકોર્ડમાં દરખાસ્તની બાજુમાં રાખો. પ્રમાણપત્ર ફેરફાર પછી કનેક્શન નિષ્ફળ જાય ત્યારે તે જોડી આગલી વ્યક્તિને કહે છે કે પહેલાં વાટાઘાટ હલી કે વિશ્વાસનો નિર્ણય.
એક સુધારો ડિપ્લોય કરો અને શું વાટાઘાટ થયું તે નિરીક્ષણ કરો
સંસ્થાની સમર્થિત વિતરણ કાર્યપ્રવાહ વાપરો અને પ્રોફાઇલ ઓળખકર્તા, સુધારો, લક્ષ્ય Mac આવૃત્તિઓ અને મેળ ખાતી ગેટવે નીતિ નોંધો. જોડાઈ શકતા નથી તેવા ઉપકરણોને દસ્તાવેજી પુનઃપ્રાપ્તિ માર્ગ આપો, અને જેની માલિકી કોઈ સ્થાપિત કરી શકે નહીં તેવી સમાન નામની બીજી પ્રોફાઇલ બનાવવાનું ટાળો.
સ્વીકૃતિ દરમિયાન, મંજૂર કરેલા ડાયગ્નોસ્ટિક્સ દ્વારા સ્થાપિત રૂપરેખા અને વાટાઘાટ થયેલા IKE અને Child એસોસિએશનનું નિરીક્ષણ કરો. પછી નિયંત્રિત નવીકરણ ફરજિયાત કરો, કારણ કે પ્રથમ કનેક્શન ફક્ત એ સાબિત કરે છે કે પ્રારંભિક વાટાઘાટ કામ કરી; જીવનકાળની અસંગતિ સામાન્ય રીતે પ્રથમ કી-ફેરબદલી વખતે દેખાય છે, ડિપ્લોયમેન્ટ મંજૂર થયાના ઘણા સમય પછી.
સ્વીકૃત સમૂહને સુધારા રેકોર્ડ સાથે રાખો. પછી આગલા macOS અપડેટ કે ગેટવે ફેરફાર પાસે સરખામણી માટે આધારરેખા હોય છે, એવી પ્રોફાઇલને બદલે જે આજે ફક્ત સંજોગવશાત્ જોડાય છે.