Profil IKEv2 Mac: atur kedua kamus SA, lalu uji

Koneksi yang berhasil hanya membuktikan bahwa kedua ujung menemukan sekumpulan nilai yang mereka terima. Profil IKEv2 Mac yang dikelola membawa dua kamus asosiasi keamanan, gateway memiliki daftar proposalnya sendiri, dan koneksi berhasil pada irisan mana pun yang diizinkan kedua pihak. Lakukan pemeriksaan di bawah secara berurutan, dan berhentilah di tempat kedua ujung tidak sepakat alih-alih menambahkan cipher lain untuk melihat apakah itu membantu. Setiap langkah menyingkirkan lapisan profil yang berbeda.

Periksa kedua kamus sebelum mengubah nilai

Di dalam pengaturan IKEv2 muatan VPN, IKESecurityAssociationParameters menjelaskan asosiasi IKE dan ChildSecurityAssociationParameters menjelaskan Child SA. Skema Apple menyatakan bahwa parameter IKE juga berlaku untuk Child SA saat kamus kedua tidak ada. Pewarisan itu memang nyaman, dan begitulah cara sebuah profil berakhir dengan nilai yang tidak pernah dipilih siapa pun dengan sadar.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Tulis kedua baris ke dalam catatan penerapan meskipun nilainya sama. Peninjau kemudian dapat melihat bahwa Child SA dipertimbangkan, bukan diwarisi secara kebetulan, dan perubahan berikutnya pada satu baris tidak diam-diam mengubah baris lainnya.

Periksa arti setiap kunci sebelum menyalin string

Keempat kunci tidak dapat dipertukarkan dengan string proposal dari produk lain. Nama algoritme bergantung pada implementasi, jadi terjemahkan suite yang dipilih melalui sintaksis terdokumentasi masing-masing pihak alih-alih menempelkan proposal strongSwan ke bidang Apple.

„Gunakan nomor grup terbesar” bukan metode pemilihan. Pengenal grup menamai konstruksi yang berbeda, dan nomor yang lebih tinggi tidak sekadar berarti versi yang lebih kuat dari hal yang sama. Mintalah pemilik gateway menyetujui kombinasi lengkap, karena sebuah suite valid atau tidak valid sebagai satu kesatuan. Cipher yang disetujui dengan grup yang tidak disetujui adalah proposal yang tidak disetujui, dan itu akan gagal atau diam-diam kembali ke sesuatu yang tidak didokumentasikan oleh kedua pihak.

Periksa batas versi yang mempensiunkan algoritme lama

Skema muatan Apple membatasi DES, 3DES, SHA1-96, SHA1-160 dan grup Diffie-Hellman 1, 2 dan 5 ke versi macOS sebelum 26. Profil yang dibawa dari penerapan lama mungkin masih memuat salah satu nilai itu dan masih terhubung ke gateway lama, dan itulah kasus ketika konfigurasi yang berfungsi menyembunyikan tanggal pensiun.

Dapatkan versi Mac yang didukung dan kebijakan proposal yang dipelihara gateway sebelum membangun profil. Lalu pilih irisan dan catat mengapa opsi lainnya dikecualikan. Catatan bahwa „gateway masih menawarkan grup 2 untuk klien lama” lebih bernilai daripada daftar cipher tanpa riwayat. Tanpa catatan itu, peninjau berikutnya tidak dapat membedakan pengecualian yang disengaja dari kelalaian.

Periksa autentikasi pada barisnya sendiri

Kesepakatan atas proposal tidak memperbaiki identitas server yang salah. Identitas gateway, kepercayaan pada sertifikat, dan kredensial pengguna atau perangkat adalah keputusan terpisah, dan masing-masing dapat gagal saat algoritme selaras sempurna. Mengubah algoritme tanda tangan sertifikat bukan tindakan yang sama dengan memilih algoritme enkripsi IKE, meskipun keduanya muncul dalam tinjauan yang sama.

Simpan identitas server yang diharapkan di samping proposal dalam catatan. Ketika koneksi gagal setelah perubahan sertifikat, pasangan itu memberi tahu orang berikutnya apakah negosiasi atau keputusan kepercayaan yang bergerak lebih dulu.

Terapkan satu revisi dan periksa apa yang dinegosiasikan

Gunakan alur distribusi yang didukung organisasi dan catat pengenal profil, revisi, versi Mac target, dan kebijakan gateway yang sesuai. Beri perangkat yang tidak dapat terhubung jalur pemulihan yang terdokumentasi, dan hindari membuat profil kedua dengan nama yang sama yang kepemilikannya tidak dapat ditetapkan siapa pun.

Selama penerimaan, periksa konfigurasi terpasang dan asosiasi IKE serta Child yang dinegosiasikan melalui diagnostik yang disetujui. Lalu paksa pembaruan terkendali, karena koneksi pertama hanya membuktikan bahwa negosiasi awal berhasil; ketidakcocokan masa berlaku biasanya muncul pada pertukaran kunci pertama, jauh setelah penerapan disetujui.

Simpan suite yang diterima bersama catatan revisi. Pembaruan macOS atau perubahan gateway berikutnya kemudian memiliki garis dasar untuk dibandingkan, bukan profil yang kebetulan hanya terhubung hari ini.