Mac IKEv2 профил: поставете ги двата SA речника, потоа тестирајте

Успешното поврзување докажува само дека двете страни нашле збир вредности што ги прифаќаат. Управуван Mac IKEv2 профил носи два речника за безбедносна асоцијација, портата има своја листа на предлози, а врската успева на кој и да е пресек што двете страни го дозволуваат. Изведете ги проверките подолу по ред и запрете таму каде двете страни не се согласуваат, наместо да додавате уште една шифра за да видите дали помага. Секој чекор исклучува различен слој од профилот.

Проверете ги двата речника пред да уредите вредност

Во IKEv2 поставките на VPN товарот IKESecurityAssociationParameters ја опишува IKE асоцијацијата, а ChildSecurityAssociationParameters го опишува Child SA. Apple шемата наведува дека IKE параметрите важат и за Child SA кога вториот речник недостасува. Тоа наследување е удобно и токму така профилот завршува со вредности што никој свесно не ги избрал.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Запишете ги двата реда во записот за распоредување дури и кога вредностите се совпаѓаат. Тогаш прегледувачот може да види дека Child SA бил разгледан, а не случајно наследен, и подоцнежната промена на еден ред тивко не го менува другиот.

Проверете што значи секој клуч пред да копирате низа

Четирите клуча не се заменливи со низа за предлог од друг производ. Имињата на алгоритмите зависат од имплементацијата, затоа преведете го избраниот комплет преку документираната синтакса на секоја страна, наместо да залепите strongSwan предлог во Apple поле.

„Користете го најголемиот број на група“ не е метод за избор. Идентификаторите на групи означуваат различни конструкции, а поголем број не значи едноставно посилна верзија на истото. Нека сопственикот на портата го одобри целиот спој, бидејќи комплетот е валиден или невалиден како целина. Одобрена шифра со неодобрена група е неодобрен предлог, и таа или ќе пропадне или тивко ќе се врати на нешто што ниту една страна не го документирала.

Проверете ги ограничувањата на верзијата што ги пензионираат старите алгоритми

Apple шемата за товар ги ограничува DES, 3DES, SHA1-96, SHA1-160 и Diffie-Hellman групите 1, 2 и 5 на macOS верзии пред 26. Профил пренесен од постаро распоредување може се уште да содржи една од тие вредности и се уште да се поврзува со стара порта, и токму тоа е случајот кога работна конфигурација крие датум на повлекување.

Набавете ги поддржаните Mac верзии и политиката на предлози што ја одржува портата пред да го изградите профилот. Потоа изберете го пресекот и запишете зошто останатите опции се исклучени. Белешката „портата се уште нуди група 2 за стари клиенти“ вреди повеќе од список на шифри без историја. Без таа белешка следниот прегледувач не може да разликува намерен исклучок од пропуст.

Проверете ја автентикацијата на свој ред

Договорот за предлог не поправа погрешен идентитет на серверот. Идентитетот на портата, довербата во сертификатот и акредитивите на корисникот или уредот се одделни одлуки и секоја може да пропадне додека алгоритмите се совршено усогласени. Менувањето на алгоритмот за потпис на сертификат не е исто дејство како изборот на IKE алгоритмот за шифрирање, иако двете се појавуваат во истиот преглед.

Држете го очекуваниот идентитет на серверот до предлогот во записот. Кога врската пропаѓа по промена на сертификат, тој пар му кажува на следниот човек дали прво се помести преговарањето или одлуката за доверба.

Распоредете една ревизија и проверете што е договорено

Користете го поддржаниот работен тек за дистрибуција на организацијата и запишете го идентификаторот на профилот, ревизијата, целните Mac верзии и соодветната политика на портата. Дајте им на уредите што не можат да се поврзат документирана патека за обновување и избегнувајте создавање втор профил со исто име чие сопствеништво никој не може да го утврди.

За време на приемот проверете ја инсталираната конфигурација и договорените IKE и Child асоцијации преку одобрена дијагностика. Потоа принудете контролирано обновување, бидејќи првата врска докажува само дека почетното преговарање работело; несовпаѓањето на животниот век обично се појавува при првата замена на клучот, долго откако распоредувањето е одобрено.

Држете го прифатениот комплет со записот за ревизија. Тогаш следното ажурирање на macOS или промена на портата има основна линија за споредба наместо профил што денес само случајно се поврзува.