Mac IKEv2 профайл: хоёр SA толь бичгийг хоёуланг нь тохируулаад дараа нь туршина уу
Тухайн толь бичиг байхгүй үед IKE параметрүүдийг Child SA өвлөн авдаг. Хоёуланг нь бөглөж, нэрсийг орчуулаад, талууд бодитоор юу тохиролцсоныг шалгана уу.
Амжилттай холболт нь хоёр тал хүлээн зөвшөөрөх утгын багцыг олсон гэдгийг л батална. Удирдлагатай Mac IKEv2 профайл нь аюулгүй байдлын холбооны хоёр толь бичиг агуулдаг, гарц нь өөрийн саналын жагсаалттай, холболт нь хоёр талын зөвшөөрсөн аль ч огтлолцол дээр амжилттай болдог. Доорх шалгалтуудыг дарааллаар нь хийж, өөр шифр нэмж тус болох эсэхийг харахын оронд хоёр тал зөрөлдөж буй газарт зогсоорой. Алхам бүр профайлын өөр давхаргыг хасдаг.
Утгыг засахаас өмнө хоёр толь бичгийг шалгана уу
VPN ачааллын IKEv2 тохиргоонд IKESecurityAssociationParameters нь IKE холбоог, ChildSecurityAssociationParameters нь Child SA-г тодорхойлно. Apple-ийн схемд хоёр дахь толь бичиг байхгүй үед IKE параметрүүд Child SA-д мөн хамаарна гэж заасан. Энэ өвлөлт нь тохь тухтай бөгөөд яг ингэж профайлд хэн ч санаатай сонгоогүй утгууд үлддэг.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Утгууд таарч байсан ч хоёр мөрийг байршуулалтын бүртгэлд бичнэ үү. Тэгвэл хянагч Child SA-г санамсаргүй өвлөсөн биш, харгалзан үзсэнийг харж чадна, нэг мөрийн дараагийн өөрчлөлт нөгөөг нь чимээгүй өөрчлөхгүй.
Мөр хуулахаас өмнө түлхүүр бүрийн утгыг шалгана уу
Дөрвөн түлхүүр нь өөр бүтээгдэхүүний саналын мөртэй солилцох боломжгүй. Алгоритмын нэрс хэрэгжүүлэлтээс хамаардаг тул сонгосон багцыг Apple-ийн талбарт strongSwan санал наахаас илүү тал бүрийн баримтжуулсан синтаксоор орчуулна уу.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«Хамгийн том бүлгийн дугаарыг ашигла» нь сонголтын арга биш. Бүлгийн таних тэмдэг нь өөр өөр бүтцийг заадаг бөгөөд илүү том дугаар нь ижил зүйлийн илүү хүчтэй хувилбар гэсэн үг биш. Гарцын эзэн бүрэн хослолыг батлах ёстой, учир нь багц бүхэлдээ хүчинтэй эсвэл хүчингүй. Баталгаажаагүй бүлэгтэй батлагдсан шифр нь баталгаажаагүй санал бөгөөд энэ нь эсвэл бүтэлгүйтэх, эсвэл аль ч тал баримтжуулаагүй зүйл рүү чимээгүй буцах болно.
Хуучин алгоритмуудыг тэтгэвэрт гаргах хувилбарын хязгаарыг шалгана уу
Apple-ийн ачааллын схем нь DES, 3DES, SHA1-96, SHA1-160 болон Diffie-Hellman 1, 2, 5 бүлгүүдийг 26-аас өмнөх macOS хувилбаруудаар хязгаарладаг. Хуучин байршуулалтаас шилжүүлсэн профайлд тэдгээр утгын нэг нь байж, хуучин гарцтай холбогдсоор байж болох бөгөөд ажиллаж буй тохиргоо ашиглалтаас гаргах огноог нуудаг тохиолдол яг энэ юм.
Профайлыг бүтээхээс өмнө дэмжигдсэн Mac хувилбарууд болон гарцын баримталдаг саналын бодлогыг олж авна уу. Дараа нь огтлолцлыг сонгож, үлдсэн сонголтуудыг яагаад хассныг бичнэ үү. «Гарц хуучин клиентүүдэд 2-р бүлгийг санал болгосоор байна» гэсэн тэмдэглэл түүхгүй шифрийн жагсаалтаас илүү үнэ цэнэтэй. Тэр тэмдэглэлгүйгээр дараагийн хянагч санаатай үл хамаарах зүйлийг хайхрамжгүй байдлаас ялгаж чадахгүй.
Баталгаажуулалтыг өөрийн гэсэн мөрөнд шалгана уу
Саналын талаар тохиролцох нь буруу серверийн таних тэмдгийг засахгүй. Гарцын таних тэмдэг, гэрчилгээнд итгэх итгэл, хэрэглэгч эсвэл төхөөрөмжийн итгэмжлэл нь тусдаа шийдвэр бөгөөд алгоритмууд төгс нийцэж байсан ч тус бүр нь бүтэлгүйтэж болно. Гэрчилгээний гарын үсгийн алгоритмыг өөрчлөх нь IKE шифрлэлтийн алгоритмыг сонгохтой ижил үйлдэл биш, хоёулаа нэг хяналтад гарч байсан ч.
Хүлээгдэж буй серверийн таних тэмдгийг бүртгэлд саналын хажууд байлгана уу. Гэрчилгээний өөрчлөлтийн дараа холболт бүтэлгүйтвэл тэр хос дараагийн хүнд эхлээд хэлэлцээр эсвэл итгэлийн шийдвэр хөдөлснийг хэлнэ.
Нэг хувилбарыг байршуулж, юу тохиролцсоныг шалгана уу
Байгууллагын дэмждэг түгээлтийн ажлын урсгалыг ашиглаж, профайлын таних тэмдэг, хувилбар, зорилтот Mac хувилбарууд болон тохирох гарцын бодлогыг бүртгэнэ үү. Холбогдож чадахгүй төхөөрөмжүүдэд баримтжуулсан сэргээх зам өгч, эзэмшлийг нь хэн ч тогтоож чадахгүй ижил нэртэй хоёр дахь профайл үүсгэхээс зайлсхий.
Хүлээн авах үеэр суулгасан тохиргоо болон тохиролцсон IKE, Child холбоог зөвшөөрөгдсөн оношилгоогоор шалгана уу. Дараа нь хяналттай шинэчлэлтийг албадана уу, учир нь эхний холболт нь анхны хэлэлцээр ажилласныг л батална; насны зөрүү нь ихэвчлэн эхний түлхүүр солилцоонд, байршуулалт батлагдсанаас хамаагүй хожуу илэрдэг.
Хүлээн авсан багцыг хувилбарын бүртгэлтэй хамт хадгална уу. Тэгвэл дараагийн macOS шинэчлэлт эсвэл гарцын өөрчлөлтөд харьцуулах суурь шугам бий болно, өнөөдөр санамсаргүй холбогдож байгаа профайлын оронд.