Mac IKEv2 პროფილი: დააყენეთ ორივე SA ლექსიკონი, შემდეგ შეამოწმეთ
IKE პარამეტრები Child SA-ს მემკვიდრეობით გადაეცემა, როცა ეს ლექსიკონი არ არსებობს. შეავსეთ ორივე, თარგმნეთ სახელები და შეამოწმეთ, რაზე შეთანხმდნენ მხარეები რეალურად.
წარმატებული კავშირი მხოლოდ იმას ადასტურებს, რომ ორივე მხარემ იპოვა მისაღები მნიშვნელობების ნაკრები. მართული Mac IKEv2 პროფილი შეიცავს უსაფრთხოების ასოციაციის ორ ლექსიკონს, კარიბჭეს აქვს საკუთარი წინადადებების სია და კავშირი მყარდება ნებისმიერ იმ გადაკვეთაზე, რომელსაც ორივე მხარე დაუშვებს. შეასრულეთ ქვემოთ მოცემული შემოწმებები თანმიმდევრობით და შეჩერდით იქ, სადაც ორი მხარე არ ეთანხმება, ნაცვლად კიდევ ერთი შიფრის დამატებისა იმის სანახავად, დაეხმარება თუ არა. ყოველი ნაბიჯი გამორიცხავს პროფილის სხვა ფენას.
შეამოწმეთ ორივე ლექსიკონი მნიშვნელობის რედაქტირებამდე
VPN დატვირთვის IKEv2 პარამეტრებში IKESecurityAssociationParameters აღწერს IKE ასოციაციას, ხოლო ChildSecurityAssociationParameters აღწერს Child SA-ს. Apple-ის სქემა აცხადებს, რომ IKE პარამეტრები Child SA-ზეც ვრცელდება, როცა მეორე ლექსიკონი არ არსებობს. ეს მემკვიდრეობა მოსახერხებელია და სწორედ ასე რჩება პროფილში ის მნიშვნელობები, რომლებიც არავის შეურჩევია შეგნებულად.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>ჩაწერეთ ორივე სტრიქონი განთავსების ჩანაწერში მაშინაც, როცა მნიშვნელობები ემთხვევა. მაშინ მიმომხილველი დაინახავს, რომ Child SA განიხილეს და არა შემთხვევით მემკვიდრეობით მიიღეს, ხოლო ერთი სტრიქონის შემდგომი ცვლილება ჩუმად არ ცვლის მეორეს.
შეამოწმეთ, რას ნიშნავს ყოველი გასაღები, სანამ სტრიქონს დააკოპირებთ
ოთხი გასაღები არ არის ურთიერთშემცვლელი სხვა პროდუქტის წინადადების სტრიქონთან. ალგორითმების სახელები იმპლემენტაციაზეა დამოკიდებული, ამიტომ თარგმნეთ არჩეული ნაკრები თითოეული მხარის დოკუმენტირებული სინტაქსით და არ ჩასვათ strongSwan-ის წინადადება Apple-ის ველში.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„გამოიყენეთ ყველაზე დიდი ჯგუფის ნომერი” შერჩევის მეთოდი არ არის. ჯგუფის იდენტიფიკატორები სხვადასხვა კონსტრუქციას აღნიშნავენ და უფრო დიდი ნომერი უბრალოდ იმავე ნივთის უფრო ძლიერ ვერსიას არ ნიშნავს. კარიბჭის მფლობელმა დაამტკიცოს სრული კომბინაცია, რადგან ნაკრები მთლიანობაში ძალაშია ან არ არის. დამტკიცებული შიფრი დაუმტკიცებელ ჯგუფთან ერთად დაუმტკიცებელი წინადადებაა და ის ან ჩავარდება, ან ჩუმად დაბრუნდება იმაზე, რაც არცერთ მხარეს არ დოკუმენტირებულა.
შეამოწმეთ ვერსიის შეზღუდვები, რომლებიც ძველ ალგორითმებს პენსიაზე აგზავნის
Apple-ის დატვირთვის სქემა DES, 3DES, SHA1-96, SHA1-160 და Diffie-Hellman ჯგუფებს 1, 2 და 5 ზღუდავს 26-მდე macOS ვერსიებით. ძველი განთავსებიდან გადმოტანილ პროფილში შესაძლოა ჯერ კიდევ იყოს ერთ-ერთი ასეთი მნიშვნელობა და ის ჯერ კიდევ უკავშირდებოდეს ძველ კარიბჭეს, და სწორედ ეს არის შემთხვევა, როცა მოქმედი კონფიგურაცია მალავს ექსპლუატაციიდან გამოტანის თარიღს.
სანამ პროფილს ააწყობთ, მიიღეთ მხარდაჭერილი Mac ვერსიები და კარიბჭის მიერ დაცული წინადადების პოლიტიკა. შემდეგ აირჩიეთ გადაკვეთა და ჩაწერეთ, რატომ გამოირიცხა დარჩენილი ვარიანტები. ჩანაწერი „კარიბჭე ჯერ კიდევ სთავაზობს ჯგუფ 2-ს ძველ კლიენტებს” უფრო ღირებულია, ვიდრე ისტორიის გარეშე შიფრების სია. ამ ჩანაწერის გარეშე შემდეგი მიმომხილველი ვერ გაარჩევს განზრახ გამონაკლისს უყურადღებობისგან.
შეამოწმეთ აუთენტიფიკაცია ცალკე სტრიქონში
წინადადებაზე შეთანხმება არ ასწორებს სერვერის არასწორ იდენტობას. კარიბჭის იდენტობა, სერტიფიკატის ნდობა და მომხმარებლის ან მოწყობილობის მონაცემები ცალკეული გადაწყვეტილებებია და თითოეული შეიძლება ჩავარდეს, როცა ალგორითმები სრულად შეთანხმებულია. სერტიფიკატის ხელმოწერის ალგორითმის შეცვლა არ არის იგივე ქმედება, რაც IKE დაშიფვრის ალგორითმის არჩევა, თუმცა ორივე ერთსა და იმავე მიმოხილვაში ჩანს.
შეინახეთ მოსალოდნელი სერვერის იდენტობა წინადადების გვერდით ჩანაწერში. როცა სერტიფიკატის შეცვლის შემდეგ კავშირი ვერ მყარდება, ეს წყვილი შემდეგ ადამიანს ეუბნება, ჯერ მოლაპარაკება გადაინაცვლა თუ ნდობის გადაწყვეტილება.
განათავსეთ ერთი რევიზია და შეამოწმეთ, რაზე შეთანხმდნენ
გამოიყენეთ ორგანიზაციის მხარდაჭერილი განაწილების სამუშაო პროცესი და ჩაწერეთ პროფილის იდენტიფიკატორი, რევიზია, სამიზნე Mac ვერსიები და შესაბამისი კარიბჭის პოლიტიკა. მიეცით ვერ დაკავშირებად მოწყობილობებს დოკუმენტირებული აღდგენის გზა და მოერიდეთ იმავე სახელის მეორე პროფილის შექმნას, რომლის საკუთრებას ვერავინ დაადგენს.
მიღების დროს შეამოწმეთ დაყენებული კონფიგურაცია და შეთანხმებული IKE და Child ასოციაციები დამტკიცებული დიაგნოსტიკის მეშვეობით. შემდეგ აიძულეთ კონტროლირებადი განახლება, რადგან პირველი კავშირი მხოლოდ იმას ადასტურებს, რომ საწყისი მოლაპარაკება მუშაობდა; სიცოცხლის ხანგრძლივობის შეუსაბამობა ჩვეულებრივ პირველ გასაღების შეცვლაზე ვლინდება, განთავსების დამტკიცებიდან დიდი ხნის შემდეგ.
შეინახეთ მიღებული ნაკრები რევიზიის ჩანაწერთან ერთად. მაშინ შემდეგ macOS განახლებას ან კარიბჭის ცვლილებას შედარების საფუძველი ექნება, ნაცვლად პროფილისა, რომელიც დღეს უბრალოდ შემთხვევით უკავშირდება.