Mac IKEv2-profil: állítsa be mindkét SA-szótárat, majd teszteljen

A sikeres kapcsolat csak azt bizonyítja, hogy mindkét fél talált egy elfogadható értékkészletet. Egy kezelt Mac IKEv2-profil két biztonsági társítás-szótárat tartalmaz, az átjárónak saját javaslatlistája van, és a kapcsolat a két fél által engedett metszeten jön létre. Végezze el az alábbi ellenőrzéseket sorrendben, és álljon meg ott, ahol a két végpont eltér, ahelyett hogy újabb titkosítást adna hozzá, hogy lássa, segít-e. Minden lépés a profil másik rétegét zárja ki.

Ellenőrizze mindkét szótárat, mielőtt értéket szerkeszt

A VPN-terhelés IKEv2-beállításain belül IKESecurityAssociationParameters írja le az IKE-társítást, ChildSecurityAssociationParameters pedig a Child SA-t. Az Apple sémája szerint az IKE-paraméterek a Child SA-ra is érvényesek, ha a második szótár hiányzik. Ez az öröklés kényelmes, és pontosan így kerül egy profilba olyan érték, amelyet senki nem választott tudatosan.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Írja be mindkét sort a telepítési nyilvántartásba akkor is, ha az értékek megegyeznek. Így a bíráló láthatja, hogy a Child SA-t megfontolták, nem pedig véletlenül örökölték, és az egyik sor későbbi módosítása nem változtatja meg csendben a másikat.

Ellenőrizze, mit jelent minden kulcs, mielőtt karakterláncot másol

A négy kulcs nem cserélhető fel egy másik termék javaslat-karakterláncával. Az algoritmusnevek megvalósításfüggők, ezért a kiválasztott készletet az egyes oldalak dokumentált szintaxisa szerint fordítsa le, ahelyett hogy strongSwan-javaslatot illesztene egy Apple-mezőbe.

A „használja a legnagyobb csoportszámot” nem kiválasztási módszer. A csoportazonosítók különböző konstrukciókat jelölnek, és a nagyobb szám nem egyszerűen ugyanannak a dolognak az erősebb változatát jelenti. Azt az átjáró tulajdonosával hagyassa jóvá a teljes kombinációt, mert egy készlet egészében érvényes vagy érvénytelen. Egy jóváhagyott titkosítás jóvá nem hagyott csoporttal jóvá nem hagyott javaslat, és vagy meghiúsul, vagy csendben visszaesik valamire, amit egyik fél sem dokumentált.

Ellenőrizze a régi algoritmusokat nyugdíjazó verziókorlátokat

Az Apple terhelési sémája a DES, 3DES, SHA1-96, SHA1-160 és a Diffie-Hellman 1, 2 és 5 csoportot a 26 előtti macOS-verziókra korlátozza. Egy régebbi telepítésből átvett profil még tartalmazhatja ezek egyikét, és még csatlakozhat egy régi átjáróhoz, és éppen ez az az eset, amikor egy működő konfiguráció elrejti a kivezetés dátumát.

A profil felépítése előtt szerezze be a támogatott Mac-verziókat és az átjáró által fenntartott javaslatpolitikát. Ezután válassza ki a metszetet, és rögzítse, miért zárták ki a fennmaradó lehetőségeket. Egy megjegyzés, hogy „az átjáró továbbra is kínál 2-es csoportot a régi klienseknek”, többet ér, mint egy történelem nélküli titkosításlista. E megjegyzés nélkül a következő bíráló nem tudja megkülönböztetni a szándékos kivételt a mulasztástól.

Ellenőrizze a hitelesítést saját sorában

Egy javaslatról való megegyezés nem javítja a helytelen kiszolgálóazonosítót. Az átjáró identitása, a tanúsítványba vetett bizalom és a felhasználó vagy eszköz hitelesítő adatai külön döntések, és mindegyik meghiúsulhat, miközben az algoritmusok tökéletesen illeszkednek. Egy tanúsítvány aláírási algoritmusának megváltoztatása nem ugyanaz a művelet, mint az IKE-titkosítási algoritmus kiválasztása, bár mindkettő ugyanabban a felülvizsgálatban jelenik meg.

Tartsa az elvárt kiszolgálóazonosítót a javaslat mellett a nyilvántartásban. Ha egy kapcsolat tanúsítványcsere után meghiúsul, ez a páros megmondja a következő embernek, hogy a tárgyalás vagy a bizalmi döntés mozdult-e előbb.

Telepítsen egy revíziót, és vizsgálja meg, mit tárgyaltak

Használja a szervezet támogatott terjesztési munkafolyamatát, és rögzítse a profil azonosítóját, a revíziót, a cél-Mac-verziókat és a hozzá illő átjárószabályzatot. Adjon a csatlakozni nem tudó eszközöknek dokumentált helyreállítási útvonalat, és kerülje egy második, azonos nevű profil létrehozását, amelynek tulajdonjogát senki nem tudja megállapítani.

Az átvétel során vizsgálja meg a telepített konfigurációt és a tárgyalt IKE- és Child-társításokat jóváhagyott diagnosztikával. Ezután kényszerítsen ellenőrzött megújítást, mert az első kapcsolat csak azt bizonyítja, hogy a kezdeti tárgyalás működött; az élettartam-eltérés általában az első kulcscserénél jelenik meg, jóval a telepítés jóváhagyása után.

Tartsa az elfogadott készletet a revíziós nyilvántartás mellett. Így a következő macOS-frissítésnek vagy átjáróváltozásnak lesz összehasonlítási alapja, nem pedig egy profil, amely csak véletlenül csatlakozik ma.