Mac IKEv2 профилі: екі SA сөздігін де орнатып, содан кейін сынаңыз
Бұл сөздік жоқ болғанда IKE параметрлері Child SA-ға мұрагерлікпен беріледі. Екеуін де толтырыңыз, атауларын аударыңыз және тараптардың шын мәнінде не келіскенін тексеріңіз.
Сәтті қосылым екі ұштың да қабылдайтын мәндер жиынтығын тапқанын ғана дәлелдейді. Басқарылатын Mac IKEv2 профилі қауіпсіздік бірлестігінің екі сөздігін қамтиды, шлюздің өз ұсыныс тізімі бар және қосылым екі тарап рұқсат ететін кез келген қиылыста орнайды. Төмендегі тексерулерді ретімен орындаңыз және көмектесе ме деп тағы бір шифр қосудың орнына екі ұш келіспейтін жерде тоқтаңыз. Әр қадам профильдің басқа қабатын жоққа шығарады.
Мәнді өңдеу алдында екі сөздікті де тексеріңіз
VPN жүктемесінің IKEv2 параметрлерінде IKESecurityAssociationParameters IKE бірлестігін, ал ChildSecurityAssociationParameters Child SA-ны сипаттайды. Apple схемасы екінші сөздік жоқ болғанда IKE параметрлері Child SA-ға да қолданылатынын айтады. Бұл мұрагерлік ыңғайлы және профильге ешкім саналы түрде таңдамаған мәндер осылайша қалады.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Мәндер сәйкес келсе де, екі жолды да орналастыру жазбасына жазыңыз. Сонда шолушы Child SA кездейсоқ мұрагерлікпен емес, қарастырылғанын көреді және бір жолдағы кейінгі өзгеріс екіншісін үнсіз өзгертпейді.
Жолды көшіру алдында әр кілттің нені білдіретінін тексеріңіз
Төрт кілт басқа өнімнің ұсыныс жолымен өзара алмаспайды. Алгоритм атаулары іске асыруға тәуелді, сондықтан таңдалған жиынтықты Apple өрісіне strongSwan ұсынысын қоюдың орнына әр тараптың құжатталған синтаксисі арқылы аударыңыз.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«Ең үлкен топ нөмірін қолданыңыз» таңдау әдісі емес. Топ идентификаторлары әртүрлі құрылымдарды білдіреді және үлкенірек нөмір сол заттың қарапайым түрде күштірек нұсқасын білдірмейді. Шлюз иесіне толық комбинацияны бекіттіріңіз, өйткені жиынтық тұтас ретінде жарамды немесе жарамсыз. Бекітілмеген топпен бірге бекітілген шифр бекітілмеген ұсыныс болып табылады және ол не істен шығады, не ешбір тарап құжаттамаған нәрсеге үнсіз қайтады.
Ескі алгоритмдерді зейнетке шығаратын нұсқа шектеулерін тексеріңіз
Apple жүктеме схемасы DES, 3DES, SHA1-96, SHA1-160 және Diffie-Hellman 1, 2 және 5 топтарын 26-ға дейінгі macOS нұсқаларымен шектейді. Ескі орналастырудан көшірілген профильде сол мәндердің бірі әлі болуы және ол әлі ескі шлюзге қосылуы мүмкін, және жұмыс істеп тұрған конфигурация пайдаланудан шығару күнін жасыратын жағдай дәл осы.
Профильді құру алдында қолдау көрсетілетін Mac нұсқаларын және шлюз ұстайтын ұсыныс саясатын алыңыз. Содан кейін қиылысты таңдап, қалған нұсқалардың неге алынып тасталғанын жазыңыз. «Шлюз ескі клиенттер үшін 2-топты әлі ұсынады» деген жазба тарихы жоқ шифрлар тізімінен қымбат. Ондай жазба болмаса, келесі шолушы әдейі жасалған ерекшелікті ұмытшақтықтан ажырата алмайды.
Аутентификацияны жеке жолда тексеріңіз
Ұсыныс бойынша келісім қате сервер идентификациясын түзетпейді. Шлюз идентификациясы, сертификатқа сенім және пайдаланушы немесе құрылғы деректері бөлек шешімдер және алгоритмдер толық сәйкес болса да әрқайсысы істен шығуы мүмкін. Сертификаттың қолтаңба алгоритмін өзгерту IKE шифрлау алгоритмін таңдаумен бірдей әрекет емес, екеуі бір шолуда көрінсе де.
Күтілетін сервер идентификациясын жазбада ұсыныстың қасында ұстаңыз. Сертификат өзгергеннен кейін қосылым істен шықса, бұл жұп келесі адамға алдымен келіссөздің әлде сенім шешімінің қозғалғанын айтады.
Бір ревизияны орналастырып, не туралы келісілгенін тексеріңіз
Ұйымның қолдайтын тарату жұмыс ағынын пайдаланыңыз және профиль идентификаторын, ревизияны, мақсатты Mac нұсқаларын және сәйкес шлюз саясатын жазыңыз. Қосыла алмайтын құрылғыларға құжатталған қалпына келтіру жолын беріңіз және меншігін ешкім анықтай алмайтын бірдей атаулы екінші профиль жасаудан аулақ болыңыз.
Қабылдау кезінде орнатылған конфигурацияны және келісілген IKE мен Child бірлестіктерін бекітілген диагностика арқылы тексеріңіз. Содан кейін бақыланатын жаңартуды мәжбүрлеңіз, өйткені бірінші қосылым бастапқы келіссөз жұмыс істегенін ғана дәлелдейді; өмір сүру ұзақтығының сәйкессіздігі әдетте бірінші кілт ауыстыруда, орналастыру бекітілгеннен әлдеқайда кеш көрінеді.
Қабылданған жиынтықты ревизия жазбасымен бірге ұстаңыз. Сонда келесі macOS жаңартуының немесе шлюз өзгерісінің салыстыратын базалық сызығы болады, бүгін жай ғана кездейсоқ қосылатын профильдің орнына.