Mac IKEv2 профили: эки SA сөздүгүн тең орнотуп, анан сынаңыз
Ошол сөздүк жок болгондо IKE параметрлери Child SA тарабынан мураска алынат. Экөөнү тең толтуруңуз, аттарын которуңуз жана тараптар чындыгында эмнеге макулдашканын текшериңиз.
Ийгиликтүү туташуу эки тарап тең кабыл алган баалуулуктар топтомун тапканын гана далилдейт. Башкарылуучу Mac IKEv2 профили коопсуздук бирикмесинин эки сөздүгүн камтыйт, шлюздун өзүнүн сунуш тизмеси бар жана туташуу эки тарап уруксат берген каалаган кесилиште ишке ашат. Төмөнкү текшерүүлөрдү тартиби менен аткарыңыз жана дагы бир шифр кошуп, ал жардам береби деп көрүүнүн ордуна эки тарап макул болбогон жерде токтоңуз. Ар бир кадам профилдин башка катмарын жокко чыгарат.
Маанини оңдоодон мурун эки сөздүктү тең текшериңиз
VPN жүктөмүнүн IKEv2 жөндөөлөрүндө IKESecurityAssociationParameters IKE бирикмесин, ал эми ChildSecurityAssociationParameters Child SAны сүрөттөйт. Apple схемасы экинчи сөздүк жок болгондо IKE параметрлери Child SAга да колдонуларын айтат. Бул мурас ыңгайлуу жана профилге эч ким атайын тандабаган баалуулуктар ушундай жол менен калат.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Баалуулуктар дал келсе да, эки сапты тең жайгаштыруу жазуусуна жазыңыз. Ошондо текшерүүчү Child SA кокустан мураска алынбаганын, каралганын көрөт жана бир саптагы кийинки өзгөртүү экинчисин унчукпай өзгөртпөйт.
Сабакты көчүрүүдөн мурун ар бир ачкычтын эмнени билдирерин текшериңиз
Төрт ачкыч башка продукттун сунуш сабы менен алмаштырылбайт. Алгоритм аттары ишке ашырууга көз каранды, ошондуктан тандалган топтомду Apple талаасына strongSwan сунушун жабыштыруунун ордуна ар тараптын документтелген синтаксиси аркылуу которуңуз.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«Эң чоң топ номерин колдонуңуз» тандоо ыкмасы эмес. Топ идентификаторлору ар башка курулуштарды билдирет жана чоңураак номер ошол эле нерсенин жөнөкөй түрдө күчтүүрөөк версиясын билдирбейт. Шлюздун ээсине толук айкалышты бекіттириңиз, анткени топтом бүтүндөй жарактуу же жараксыз. Бекитилбеген топ менен бирге бекитилген шифр бекитилбеген сунуш болуп саналат жана ал же иштебей калат, же эч бир тарап документтебеген нерсеге унчукпай кайтат.
Эски алгоритмдерди пенсияга чыгарган версия чектөөлөрүн текшериңиз
Apple жүктөм схемасы DES, 3DES, SHA1-96, SHA1-160 жана Diffie-Hellman 1, 2 жана 5 топторун 26га чейинки macOS версиялары менен чектейт. Эски жайгаштыруудан көчүрүлгөн профилде ошол баалуулуктардын бири дагы болушу жана ал дагы эски шлюзга туташып калышы мүмкүн, жана иштеп жаткан конфигурация пайдалануудан чыгаруу күнүн жашырган учур дал ушул.
Профилди куруудан мурун колдоого алынган Mac версияларын жана шлюз кармаган сунуш саясатын алыңыз. Анан кесилишти тандап, калган варианттар эмне үчүн алынып салынганын жазыңыз. «Шлюз эски кардарлар үчүн 2-топту дагы сунуштайт» деген жазуу тарыхы жок шифрлар тизмесинен кымбат. Мындай жазуу болбосо, кийинки текшерүүчү атайын жасалган өзгөчөлүктү унутуудан ажырата албайт.
Аутентификацияны өзүнчө сапта текшериңиз
Сунуш боюнча макулдашуу туура эмес сервер идентификациясын оңдобойт. Шлюз идентификациясы, сертификатка ишеним жана колдонуучунун же түзмөктүн дайындары өзүнчө чечимдер жана алгоритмдер толук шайкеш болсо да ар бири иштебей калышы мүмкүн. Сертификаттын кол коюу алгоритмин өзгөртүү IKE шифрлөө алгоритмин тандоо менен бирдей аракет эмес, экөө тең бир текшерүүдө көрүнсө да.
Күтүлгөн сервер идентификациясын жазууда сунуштун жанында кармаңыз. Сертификат өзгөргөндөн кийин туташуу иштебей калса, бул жуп кийинки адамга адегенде сүйлөшүүбү же ишеним чечимиби кыймыллаганын айтат.
Бир ревизияны жайгаштырып, эмне жөнүндө макулдашканын текшериңиз
Уюмдун колдоого алынган таратуу иш агымын колдонуңуз жана профиль идентификаторун, ревизияны, максаттуу Mac версияларын жана тиешелүү шлюз саясатын жазыңыз. Туташа албаган түзмөктөргө документтелген калыбына келтирүү жолун бериңиз жана ээлигин эч ким аныктай албаган ушундай эле аттуу экинчи профиль түзүүдөн качыңыз.
Кабыл алуу учурунда орнотулган конфигурацияны жана макулдашылган IKE жана Child бирикмелерин бекитилген диагностика аркылуу текшериңиз. Анан көзөмөлдөнгөн жаңыртууну мажбурлаңыз, анткени биринчи туташуу баштапкы сүйлөшүү иштегенин гана далилдейт; жашоо мөөнөтүнүн дал келбестиги адатта биринчи ачкыч алмашууда, жайгаштыруу бекитилгенден көп өткөндөн кийин көрүнөт.
Кабыл алынган топтомду ревизия жазуусу менен бирге кармаңыз. Ошондо кийинки macOS жаңыртуусунун же шлюз өзгөрүүсүнүн салыштыра турган базалык сызыгы болот, бүгүн жөн эле кокустан туташып жаткан профилдин ордуна.