Mac IKEv2-snið: stilltu báðum SA-orðabókunum og prófaðu svo
IKE-færibreytur erfast til Child SA þegar þessi orðabók vantar. Fylltu út báðar, þýddu nöfnin og athugaðu hvað jafningjarnir sömdu í raun um.
Árangursrík tenging sannar aðeins að báðir endar hafi fundið mengi gilda sem þeir samþykkja. Stýrð Mac IKEv2-snið bera tvær öryggistengingar-orðabækur, gáttin hefur sinn eigin tillögulista og tengingin tekst á hvaða skurði sem báðir aðilar leyfa. Farðu í gegnum prófanirnar hér að neðan í röð og stöðvaðu þar sem endarnir tveir eru ósammála í stað þess að bæta við annarri dulritun til að sjá hvort hún hjálpi. Hvert skref útilokar annað lag sniðsins.
Athugaðu báðar orðabækurnar áður en þú breytir gildi
Inni í IKEv2-stillingum VPN-hleðslunnar lýsir IKESecurityAssociationParameters IKE-tengingunni og ChildSecurityAssociationParameters lýsir Child SA. Skema Apple segir að IKE-færibreyturnar gildi einnig um Child SA þegar önnur orðabókin vantar. Þessi arfleifð er þægileg, og einmitt þannig endar snið með gildum sem enginn valdi af ásetningi.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Skrifaðu báðar raðirnar í uppsetningarskrána jafnvel þótt gildin passi saman. Þá getur yfirferðaraðili séð að Child SA var hugsað til en ekki erft fyrir tilviljun, og síðari breyting á einni röð breytir hinni ekki í hljóði.
Athugaðu hvað hver lykill þýðir áður en þú afritar streng
Lykilarnir fjórir eru ekki skiptanlegir við tillögustreng frá annarri vöru. Heiti reiknirita fara eftir útfærslu, svo þýddu valda mengið gegnum skjalfesta setningafræði hvors aðila í stað þess að líma strongSwan-tillögu í Apple-reit.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Notaðu hæsta hópnumernot” er ekki valaðferð. Hópaauðkenni nefna ólíkar smíðar, og hærri tala þýðir ekki einfaldlega sterkari útgáfa af sama hlutnum. Láttu eiganda gáttarinnar samþykkja heildarsamsetninguna, því mengi er gilt eða ógilt í heild. Samþykkt dulritun með ósamþykktum hópi er ósamþykkt tillaga, og hún mun annaðhvort mistakast eða hrynja hljóðlega aftur í eitthvað sem hvorugur aðili skjalfesti.
Athugaðu útgáfumörkin sem setja gömul reiknirit á eftirlaun
Hleðsluskema Apple takmarkar DES, 3DES, SHA1-96, SHA1-160 og Diffie-Hellman-hópa 1, 2 og 5 við macOS-útgáfur fyrir 26. Snið sem flutt var frá eldri uppsetningu getur enn innihaldið eitt af þessum gildum og enn tengst gamalli gátt, og það er einmitt tilfellið þar sem virk stilling felur afturköllunardag.
Fáðu studdar Mac-útgáfur og þá tillögustefnu sem gáttin viðheldur áður en þú byggir sniðið. Veldu svo skurðinn og skráðu hvers vegna hinir valkostirnir voru útilokaðir. Athugasemd sem segir „gáttin býður enn hóp 2 fyrir gömul biðlara” er meira virði en dulritunarlisti án sögu. Án þeirrar athugasemdar getur næsti yfirferðaraðili ekki greint viljandi undantekningu frá yfirsjón.
Athugaðu auðkenninguna á eigin línu
Samkomulag um tillögu lætur ekki rangt netþjónaauðkenni ganga til baka. Auðkenni gáttarinnar, traust á vottorðinu og skilríki notanda eða tækis eru aðskildar ákvarðanir, og hver þeirra getur mistekist meðan reikniritin eru fullkomlega samstillt. Að breyta undirskriftarreikniriti vottorðs er ekki sama aðgerð og að velja IKE-dulritunareikniritið, þótt bæði birtist í sömu yfirferð.
Haltu væntanlegu netþjónaauðkenni við hlið tillögunnar í skránni. Þegar tenging mistekst eftir vottorðsbreytingu segir það par næsta manneskju hvort samningaviðræðurnar eða traustsákvörðunin færðist fyrst.
Setjið eina útgáfu í notkun og skoðið hvað var samið
Notaðu studda dreifingarferli stofnunarinnar og skráðu auðkenni sniðsins, útgáfuna, markmacOS-útgáfurnar og samsvarandi gáttarstefnu. Gefðu tækjum sem geta ekki tengst skjalfesta endurheimtarleið, og forðastu að búa til annað samnefnt snið sem enginn getur sannað eignarhald á.
Við samþykkt skoðaðu uppsettu stillinguna og samið IKE- og Child-tengingarnar með samþykktri greiningu. Þvingaðu svo stýrða endurnýjun, því fyrsta tengingin sannar aðeins að upphaflegu samningaviðræðurnar virkuðu; misræmi í líftíma kemur yfirleitt fram við fyrstu lyklaskipti, löngu eftir að uppsetningin var samþykkt.
Haltu samþykktu menginu með útgáfuskránni. Þá hefur næsta macOS-uppfærsla eða gáttarbreyting grunnlínu til samanburðar í stað sniðs sem tengist bara fyrir tilviljun í dag.