Mac IKEv2 պրոֆիլ՝ սահմանեք երկու SA բառարանները, ապա փորձարկեք
IKE պարամետրերը ժառանգվում են Child SA-ի կողմից, երբ այդ բառարանը բացակայում է։ Լրացրեք երկուսն էլ, թարգմանեք անունները և ստուգեք, թե կողմերը ինչ են փաստացի բանակցել։
Հաջող կապը վկայում է միայն, որ երկու ծայրերը գտել են արժեքների մի շարք, որն ընդունում են։ Կառավարվող Mac IKEv2 պրոֆիլը պարունակում է անվտանգության միացման երկու բառարան, դարպասն ունի իր առաջարկների ցանկը, և կապը հաջողվում է ցանկացած այն հատման վրա, որը թույլատրում են երկու կողմերը։ Կատարեք ստորև նշված ստուգումները հերթականությամբ և կանգ առեք այնտեղ, որտեղ երկու ծայրերը տարբերվում են, փոխարենը ևս մեկ ծածկագիր ավելացնելու, որպեսզի տեսնեք՝ արդյոք դա կօգնի։ Յուրաքանչյուր քայլ բացառում է պրոֆիլի մեկ այլ շերտ։
Ստուգեք երկու բառարանները, նախքան արժեք խմբագրելը
VPN բեռնվածքի IKEv2 կարգավորումներում IKESecurityAssociationParameters-ը նկարագրում է IKE միացումը, իսկ ChildSecurityAssociationParameters-ը՝ Child SA-ն։ Apple-ի սխեման նշում է, որ IKE պարամետրերը կիրառվում են նաև Child SA-ի վրա, երբ երկրորդ բառարանը բացակայում է։ Այդ ժառանգումը հարմար է, և հենց այդպես է պրոֆիլը հայտնվում արժեքներով, որոնք ոչ ոք գիտակցաբար չի ընտրել։
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Գրեք երկու տողերն էլ տեղաբաշխման գրառման մեջ նույնիսկ այն դեպքում, երբ արժեքները համընկնում են։ Այդ ժամանակ վերանայողը կտեսնի, որ Child SA-ն դիտարկվել է, այլ ոչ թե պատահաբար ժառանգվել, և մի տողի հետագա փոփոխությունը լուռ չի փոխի մյուսը։
Ստուգեք, թե ինչ է նշանակում յուրաքանչյուր բանալի, նախքան տողը պատճենելը
Չորս բանալիները փոխարինելի չեն մեկ այլ արտադրանքի առաջարկի տողի հետ։ Ալգորիթմների անունները կախված են իրականացումից, ուստի թարգմանեք ընտրված փաթեթը յուրաքանչյուր կողմի փաստաթղթավորված շարահյուսությամբ՝ Apple-ի դաշտում strongSwan առաջարկ փակցնելու փոխարեն։
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«Օգտագործեք ամենամեծ խմբի համարը» ընտրության մեթոդ չէ։ Խմբի նույնացուցիչները տարբեր կառուցվածքներ են անվանում, և ավելի մեծ համարը պարզապես չի նշանակում նույն բանի ավելի ուժեղ տարբերակ։ Թող դարպասի սեփականատերը հաստատի ամբողջական համակցությունը, քանի որ փաթեթը վավեր կամ անվավեր է որպես ամբողջություն։ Հաստատված ծածկագիրը չհաստատված խմբի հետ չհաստատված առաջարկ է, և այն կա՛մ կձախողվի, կա՛մ լուռ կվերադառնա մի բանի, որը ոչ մի կողմ չի փաստաթղթավորել։
Ստուգեք տարբերակի սահմանափակումները, որոնք թոշակի են ուղարկում հին ալգորիթմները
Apple-ի բեռնվածքի սխեման սահմանափակում է DES, 3DES, SHA1-96, SHA1-160 և Diffie-Hellman 1, 2 և 5 խմբերը 26-ից առաջ macOS տարբերակներով։ Ավելի հին տեղաբաշխումից տեղափոխված պրոֆիլը կարող է դեռ պարունակել այդ արժեքներից մեկը և դեռ միանալ հին դարպասին, և հենց դա այն դեպքն է, երբ աշխատող կարգավորումը թաքցնում է շահագործումից հանելու ամսաթիվը։
Նախքան պրոֆիլը կառուցելը ձեռք բերեք աջակցվող Mac տարբերակները և դարպասի պահպանվող առաջարկի քաղաքականությունը։ Այնուհետև ընտրեք հատումը և գրանցեք, թե ինչու մնացած տարբերակները բացառվեցին։ «Դարպասը դեռ խումբ 2 է առաջարկում հին հաճախորդների համար» գրառումն ավելի արժեքավոր է, քան պատմություն չունեցող ծածկագրերի ցանկը։ Առանց այդ գրառման հաջորդ վերանայողը չի կարող տարբերել դիտավորյալ բացառությունը անուշադրությունից։
Ստուգեք նույնականացումը առանձին տողով
Առաջարկի շուրջ համաձայնությունը չի շտկում սխալ սերվերի ինքնությունը։ Դարպասի ինքնությունը, վկայագրի նկատմամբ վստահությունը և օգտվողի կամ սարքի հավատարմագրերը առանձին որոշումներ են, և յուրաքանչյուրը կարող է ձախողվել, երբ ալգորիթմները կատարյալ համընկնում են։ Վկայագրի ստորագրության ալգորիթմը փոխելը նույն գործողությունը չէ, ինչ IKE գաղտնագրման ալգորիթմն ընտրելը, թեև երկուսն էլ հայտնվում են նույն վերանայման մեջ։
Պահեք սպասվող սերվերի ինքնությունը առաջարկի կողքին գրառման մեջ։ Երբ վկայագրի փոփոխությունից հետո կապը ձախողվում է, այդ զույգը հաջորդ մարդուն ասում է, թե ինչն առաջինը շարժվեց՝ բանակցությո՞ւնը, թե՞ վստահության որոշումը։
Տեղադրեք մեկ վերանայում և ստուգեք, թե ինչ է բանակցվել
Օգտագործեք կազմակերպության աջակցվող բաշխման հոսքը և գրանցեք պրոֆիլի նույնացուցիչը, վերանայումը, նպատակային Mac տարբերակները և համապատասխան դարպասի քաղաքականությունը։ Տվեք չմիացող սարքերին փաստաթղթավորված վերականգնման ուղի և խուսափեք նույն անունով երկրորդ պրոֆիլ ստեղծելուց, որի սեփականությունը ոչ ոք չի կարող հաստատել։
Ընդունման ընթացքում ստուգեք տեղադրված կարգավորումը և բանակցված IKE և Child միացումները հաստատված ախտորոշման միջոցով։ Այնուհետև պարտադրեք վերահսկվող նորացում, քանի որ առաջին կապը վկայում է միայն, որ սկզբնական բանակցությունը աշխատել է, իսկ կյանքի տևողության անհամապատասխանությունը սովորաբար ի հայտ է գալիս առաջին բանալու փոփոխության ժամանակ՝ տեղաբաշխումը հաստատվելուց շատ ավելի ուշ։
Պահեք ընդունված փաթեթը վերանայման գրառման հետ։ Այդ ժամանակ հաջորդ macOS թարմացումը կամ դարպասի փոփոխությունը կունենա համեմատության հենք՝ փոխարենը այնպիսի պրոֆիլի, որը պարզապես այսօր պատահաբար միանում է։