Mac IKEv2-Profil: béid SA-Wierderbicher astellen, dann testen
D'IKE-Parameter gi vum Child SA inheritéiert, wann dëst Wierderbuch fehlt. Fëllt béid aus, iwwersetzt d'Nimm a kontrolléiert, wat d'Peeren tatsächlech ausgehandelt hunn.
Eng erfollegräich Verbindung beweist just, datt béid Enden eng Rei Wäerter fonnt hunn, déi si akzeptéieren. En administréierte Mac IKEv2-Profil dréit zwee Sécherheetsassociatioun-Wierderbicher, de Gateway huet seng eege Propositiounslescht, an d'Verbindung geléngt op där Kräizung, déi béid Säiten zoulabe. Schafft d'Kontrollen ënnendrënner de Reiefolleg no of, a stoppt do, wou déi zwou Säiten net eens sinn, amplaz nach eng Verschlësselung dobäizesetzen, fir ze kucken, ob se hëlleft. All Schrëtt schléisst eng aner Schicht vum Profil aus.
Kontrolléiert béid Wierderbicher, ier Dir en Wäert ännert
An den IKEv2-Astellungen vum VPN-Payload beschreift IKESecurityAssociationParameters d'IKE-Associatioun an ChildSecurityAssociationParameters beschreift de Child SA. Dem Apple seng Schema seet, datt d'IKE-Parameter och fir de Child SA gëllen, wann dat zweet Wierderbuch fehlt. Dës Ierfschaft ass bequem, an esou kënnt e Profil zu Wäerter, déi keen bewosst gewielt huet.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Schreift béid Zeilen an den Deploiementsrecord, och wann d'Wäerter iwwerenee stëmmen. Dann kann en Iwwerpréifer gesinn, datt de Child SA consideréiert gouf an net zoufälleg geierft, an eng spéider Ännerung un enger Zeil ännert déi aner net heimlech.
Kontrolléiert, wat all Schlëssel bedeit, ier Dir eng Zeecheketten kopéiert
Déi véier Schlësselen sinn net mat enger Propositiounszeechenketten aus engem anere Produkt austauschbar. D'Algorithmusnimm sinn implementatiounsspezifesch, iwwersetzt dofir de gewielte Suite iwwer déi dokumentéiert Syntax vun all Säit, amplaz eng strongSwan-Propositioun an en Apple-Feld ze setzen.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Benotzt déi gréisst Gruppennummer” ass keng Auswielmethod. Gruppenidentifikatore bezeechnen ënnerschiddlech Konstruktiounen, an eng méi héich Nummer heescht net einfach eng méi staark Versioun vum selwechten. Loosst den Eegentemer vum Gateway déi komplett Kombinatioun genehmegen, well en Suite als Ganzt gülteg oder ongülteg ass. Eng genehmegt Verschlësselung mat enger net genehmegter Grupp ass eng net genehmegt Propositioun, an se wäert entweder feelen oder heimlech op eppes zeréckfalen, wat keng vun de Säiten dokumentéiert huet.
Kontrolléiert d'Versiounslimiten, déi al Algorithme pensionéieren
Dem Apple säi Payload-Schema limitéiert DES, 3DES, SHA1-96, SHA1-160 an d'Diffie-Hellman-Gruppen 1, 2 an 5 op macOS-Versiounen virun 26. En Profil, deen aus enger méi aler Deploiement iwwerholl gouf, kann nach ee vun dëse Wäerter enthalen an nach mat engem ale Gateway verbannen, an dat ass genau de Fall, wou eng funktionéierend Konfiguratioun en Ofschaltdatum verstoppt.
Kritt déi ënnerstëtzt Mac-Versiounen an déi gehal Propositiounspolitik vum Gateway, ier Dir de Profil baut. Wielt dann d'Kräizung a schreift op, firwat déi reschtlech Optiounen ausgeschloss goufen. Eng Notiz, datt „de Gateway nach ëmmer Grupp 2 fir al Clienten ubitt”, ass méi wäert wéi eng Verschlësselungslëscht ouni Geschicht. Ouni déi Notiz kann den nächsten Iwwerpréifer eng bewosst Ausnam net vun enger Onaachtsamkeet ënnerscheeden.
Kontrolléiert d'Authentifikatioun op hirer eegener Linn
En Accord iwwer eng Propositioun reparéiert keng falsch Serveridentitéit. D'Gateway-Identitéit, d'Vertrauen an den Zertifikat an d'Authentifikatiounsdaten vum Benotzer oder Apparat sinn getrennt Entscheedungen, an all ka feelen, wärend d'Algorithme perfekt ausgeriicht sinn. D'Signatursalgorithmus vun engem Zertifikat ze änneren ass net déiselwecht Handlung wéi den IKE-Verschlësselungsalgorithmus ze wielen, och wann béid an der selwechter Iwwerpréifung erschéngen.
Halt déi erwaart Serveridentitéit nieft der Propositioun am Record. Wann eng Verbindung no enger Zertifikatsännerung feelt, seet dee Pair der nächster Persoun, ob d'Verhandlungen oder d'Vertrauensentscheedung fir d'éischt beweegt huet.
Setzt eng Revisioun an a kontrolléiert, wat ausgehandelt gouf
Benotzt den ënnerstëtzten Verdeelungsworkflow vun der Organisatioun a schreift d'Profilkennung, d'Revisioun, d'Ziel-Mac-Versiounen an déi passend Gateway-Politik op. Gitt Apparater, déi sech net kënne verbannen, en dokumentéierte Erhuelungswee, a vermeit en zweeten identesch genannte Profil ze schafen, deem seng Eegentemmer keen etabléiere kann.
Bei der Acceptatioun kontrolléiert déi installéiert Konfiguratioun an déi ausgehandelt IKE- a Child-Associatiounen iwwer genehmegt Diagnostik. Zwéngt dann eng kontrolléiert Erneierung, well déi éischt Verbindung just beweist, datt déi initial Verhandlung funktionéiert huet; eng Ënnerscheedung an der Liewensdauer erschéngt normalerweis beim éischten Schlësselwiessel, laang nodeems d'Deploiement genehmegt gouf.
Halt de akzeptéierte Suite beim Revisiounsrecord. Dann huet déi nächst macOS-Aktualiséierung oder Gateway-Ännerung eng Basis fir ze vergläichen, amplaz e Profil, deen haut just zoufälleg verbënnt.