Mac IKEv2 profils: iestatiet abus SA vārdnīcas un pēc tam pārbaudiet
IKE parametrus Child SA manto, ja šī vārdnīca trūkst. Aizpildiet abas, iztulkojiet nosaukumus un pārbaudiet, par ko puses patiešām vienojās.
Veiksmīgs savienojums pierāda tikai to, ka abi gali atraduši pieņemamu vērtību kopu. Pārvaldīts Mac IKEv2 profils satur divas drošības asociācijas vārdnīcas, vārtejai ir savs piedāvājumu saraksts, un savienojums izveidojas jebkurā abu pušu atļautajā šķēlumā. Veiciet tālāk minētās pārbaudes secībā un apstājieties tur, kur abi gali nesakrīt, tā vietā lai pievienotu vēl vienu šifru un skatītos, vai tas palīdz. Katrs solis izslēdz citu profila slāni.
Pirms vērtības rediģēšanas pārbaudiet abas vārdnīcas
VPN kravas IKEv2 iestatījumos IKESecurityAssociationParameters apraksta IKE asociāciju, bet ChildSecurityAssociationParameters apraksta Child SA. Apple shēma nosaka, ka IKE parametri attiecas arī uz Child SA, ja otrā vārdnīca trūkst. Šī mantošana ir ērta, un tieši tā profilā nonāk vērtības, ko neviens nav apzināti izvēlējies.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Ierakstiet abas rindas izvietošanas ierakstā pat tad, ja vērtības sakrīt. Tad recenzents var redzēt, ka Child SA tika apsvērts, nevis nejauši mantots, un vēlāka vienas rindas izmaiņa klusi nemaina otru.
Pārbaudiet, ko nozīmē katra atslēga, pirms kopējat virkni
Četras atslēgas nav aizstājamas ar cita produkta piedāvājuma virkni. Algoritmu nosaukumi ir atkarīgi no ieviešanas, tāpēc iztulkojiet izvēlēto komplektu, izmantojot katras puses dokumentēto sintaksi, nevis ielīmējot strongSwan piedāvājumu Apple laukā.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Izmantojiet lielāko grupas numuru” nav atlases metode. Grupu identifikatori apzīmē dažādas konstrukcijas, un lielāks numurs nenozīmē vienkārši stiprāku tās pašas lietas versiju. Lieciet vārtejas īpašniekam apstiprināt visu kombināciju, jo komplekts ir derīgs vai nederīgs kopumā. Apstiprināts šifrs ar neapstiprinātu grupu ir neapstiprināts piedāvājums, un tas vai nu neizdosies, vai klusi atkāpsies uz kaut ko, ko neviena puse nav dokumentējusi.
Pārbaudiet versiju ierobežojumus, kas pensionē vecos algoritmus
Apple kravas shēma ierobežo DES, 3DES, SHA1-96, SHA1-160 un Diffie-Hellman grupas 1, 2 un 5 ar macOS versijām pirms 26. Profils, kas pārņemts no vecākas izvietošanas, joprojām var saturēt vienu no šīm vērtībām un joprojām savienoties ar vecu vārteju, un tas ir tieši tas gadījums, kad strādājoša konfigurācija slēpj izņemšanas datumu.
Pirms profila veidošanas iegūstiet atbalstītās Mac versijas un vārtejas uzturēto piedāvājumu politiku. Pēc tam izvēlieties šķēlumu un pierakstiet, kāpēc atlikušās opcijas tika izslēgtas. Piezīme „vārteja joprojām piedāvā grupu 2 veciem klientiem” ir vērtīgāka par šifru sarakstu bez vēstures. Bez šīs piezīmes nākamais recenzents nevar atšķirt tīšu izņēmumu no nolaidības.
Pārbaudiet autentifikāciju atsevišķā rindā
Vienošanās par piedāvājumu nelabo nepareizu servera identitāti. Vārtejas identitāte, uzticēšanās sertifikātam un lietotāja vai ierīces akreditācijas dati ir atsevišķi lēmumi, un katrs var neizdoties, kamēr algoritmi ir pilnībā saskaņoti. Sertifikāta paraksta algoritma maiņa nav tas pats, kas IKE šifrēšanas algoritma izvēle, lai gan abi parādās tajā pašā pārskatā.
Turiet gaidīto servera identitāti blakus piedāvājumam ierakstā. Kad savienojums neizdodas pēc sertifikāta maiņas, šis pāris pasaka nākamajam cilvēkam, kas pārvietojās pirmais: pārrunas vai uzticēšanās lēmums.
Izvietojiet vienu revīziju un pārbaudiet, par ko vienojās
Izmantojiet organizācijas atbalstīto izplatīšanas darbplūsmu un ierakstiet profila identifikatoru, revīziju, mērķa Mac versijas un atbilstošo vārtejas politiku. Dodiet ierīcēm, kas nevar savienoties, dokumentētu atkopšanas ceļu, un izvairieties no otras identiski nosauktas profila izveides, kura īpašumtiesības neviens nevar noteikt.
Pieņemšanas laikā pārbaudiet instalēto konfigurāciju un pārrunātās IKE un Child asociācijas, izmantojot apstiprinātu diagnostiku. Pēc tam piespiediet kontrolētu atjaunošanu, jo pirmais savienojums pierāda tikai to, ka sākotnējās pārrunas darbojās; dzīves ilguma neatbilstība parasti parādās pirmajā atslēgas maiņā, ilgi pēc izvietošanas apstiprināšanas.
Turiet pieņemto komplektu kopā ar revīzijas ierakstu. Tad nākamajā macOS atjauninājumā vai vārtejas maiņā būs bāzes līnija salīdzināšanai, nevis profils, kas šodien vienkārši nejauši savienojas.