Mac IKEv2 profilis: nustatykite abu SA žodynus, tada išbandykite
IKE parametrus Child SA paveldi, kai to žodyno nėra. Užpildykite abu, išverskite pavadinimus ir patikrinkite, dėl ko partneriai iš tikrųjų susitarė.
Sėkmingas prisijungimas įrodo tik tai, kad abu galai rado priimtinų verčių rinkinį. Tvarkomas Mac IKEv2 profilis turi du saugumo asociacijos žodynus, šliuzas turi savo pasiūlymų sąrašą, o ryšys užmezgamas bet kuriame abiejų pusių leidžiamame sankirtoje. Atlikite toliau pateiktus patikrinimus iš eilės ir sustokite ten, kur du galai nesutaria, užuot pridėję dar vieną šifrą ir žiūrėję, ar tai padės. Kiekvienas žingsnis atmeta skirtingą profilio sluoksnį.
Patikrinkite abu žodynus prieš keisdami vertę
VPN naudingosios apkrovos IKEv2 nustatymuose IKESecurityAssociationParameters aprašo IKE asociaciją, o ChildSecurityAssociationParameters aprašo Child SA. Apple schema nurodo, kad IKE parametrai taikomi ir Child SA, kai antrojo žodyno nėra. Šis paveldėjimas yra patogus, ir būtent taip profilyje atsiranda vertės, kurių niekas sąmoningai nepasirinko.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Įrašykite abi eilutes į diegimo įrašą net tada, kai vertės sutampa. Tada recenzentas gali matyti, kad Child SA buvo apsvarstytas, o ne paveldėtas atsitiktinai, ir vėlesnis vienos eilutės pakeitimas tyliai nepakeis kitos.
Patikrinkite, ką reiškia kiekvienas raktas, prieš kopijuodami eilutę
Keturi raktai nėra keičiami su kito produkto pasiūlymo eilute. Algoritmų pavadinimai priklauso nuo įgyvendinimo, todėl išverskite pasirinktą rinkinį per kiekvienos pusės dokumentuotą sintaksę, o ne įklijuokite strongSwan pasiūlymą į Apple lauką.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Naudokite didžiausią grupės numerį” nėra parinkimo metodas. Grupių identifikatoriai žymi skirtingas konstrukcijas, o didesnis numeris nereiškia paprasčiausiai stipresnės to paties dalyko versijos. Leiskite šliuzo savininkui patvirtinti visą derinį, nes rinkinys galioja arba negalioja kaip visuma. Patvirtintas šifras su nepatvirtinta grupe yra nepatvirtintas pasiūlymas, ir jis arba nepavyks, arba tyliai grįš prie kažko, ko nė viena pusė nedokumentavo.
Patikrinkite versijų apribojimus, kurie išleidžia senus algoritmus į pensiją
Apple naudingosios apkrovos schema apriboja DES, 3DES, SHA1-96, SHA1-160 ir Diffie-Hellman 1, 2 bei 5 grupes macOS versijomis iki 26. Profilis, perkeltas iš senesnio diegimo, gali vis dar turėti vieną iš tų verčių ir vis dar jungtis prie seno šliuzo, ir būtent tai yra atvejis, kai veikianti konfigūracija slepia išėmimo datą.
Prieš kurdami profilį gaukite palaikomas Mac versijas ir šliuzo palaikomą pasiūlymų politiką. Tada pasirinkite sankirtą ir užrašykite, kodėl likusios parinktys buvo atmestos. Pastaba „šliuzas vis dar siūlo 2 grupę seniems klientams” verta daugiau nei šifrų sąrašas be istorijos. Be šios pastabos kitas recenzentas negali atskirti sąmoningos išimties nuo apsileidimo.
Patikrinkite autentifikavimą atskiroje eilutėje
Susitarimas dėl pasiūlymo nesutvarko neteisingos serverio tapatybės. Šliuzo tapatybė, pasitikėjimas sertifikatu ir naudotojo ar įrenginio kredencialai yra atskiri sprendimai, ir kiekvienas gali nepavykti, kai algoritmai visiškai suderinti. Sertifikato parašo algoritmo keitimas nėra tas pats veiksmas kaip IKE šifravimo algoritmo pasirinkimas, nors abu pasirodo toje pačioje peržiūroje.
Laikykite laukiamą serverio tapatybę šalia pasiūlymo įraše. Kai ryšys nepavyksta po sertifikato pakeitimo, ta pora pasako kitam žmogui, kas pajudėjo pirmiau: derybos ar pasitikėjimo sprendimas.
Įdiekite vieną reviziją ir patikrinkite, dėl ko buvo susitarta
Naudokite organizacijos palaikomą platinimo eigą ir įrašykite profilio identifikatorių, reviziją, tikslinės Mac versijas ir atitinkamą šliuzo politiką. Suteikite įrenginiams, kurie negali prisijungti, dokumentuotą atkūrimo kelią ir venkite kurti antrojo to paties pavadinimo profilio, kurio nuosavybės niekas negali nustatyti.
Priėmimo metu patikrinkite įdiegtą konfigūraciją ir suderintas IKE bei Child asociacijas naudodami patvirtintą diagnostiką. Tada priverskite kontroliuojamą atnaujinimą, nes pirmasis ryšys įrodo tik tai, kad pradinės derybos veikė; gyvavimo trukmės neatitikimas paprastai pasireiškia pirmojo rakto keitimo metu, ilgai po to, kai diegimas buvo patvirtintas.
Laikykite priimtą rinkinį kartu su revizijos įrašu. Tada kitas macOS atnaujinimas ar šliuzo pakeitimas turi bazinę liniją palyginimui, o ne profilį, kuris šiandien tiesiog atsitiktinai prisijungia.