Mac IKEv2 प्रोफाइल: दोन्ही SA शब्दकोश सेट करा, नंतर चाचणी करा
तो शब्दकोश नसताना IKE पॅरामीटर Child SA कडून वारशाने मिळतात. दोन्ही भरा, नावांचे भाषांतर करा आणि समवयस्कांनी प्रत्यक्षात कशावर वाटाघाटी केल्या ते तपासा.
यशस्वी कनेक्शन फक्त हे सिद्ध करते की दोन्ही टोकांना त्यांना स्वीकारार्ह मूल्यांचा संच सापडला आहे। व्यवस्थापित Mac IKEv2 प्रोफाइलमध्ये दोन सुरक्षा-संलग्नता शब्दकोश असतात, गेटवेकडे स्वतःची प्रस्ताव यादी असते, आणि दोन्ही बाजूंना परवानगी असलेल्या कोणत्याही छेदनावर कनेक्शन यशस्वी होते। खालील तपासण्या क्रमाने करा, आणि आणखी एक सिफर जोडून ते मदत करते का हे पाहण्याऐवजी दोन्ही टोके जिथे असहमत आहेत तिथे थांबा। प्रत्येक पायरी प्रोफाइलचा वेगळा स्तर वगळते।
मूल्य संपादित करण्यापूर्वी दोन्ही शब्दकोश तपासा
VPN पेलोडच्या IKEv2 सेटिंग्जमध्ये, IKESecurityAssociationParameters IKE संलग्नतेचे वर्णन करते आणि ChildSecurityAssociationParameters Child SA चे वर्णन करते। दुसरा शब्दकोश नसताना IKE पॅरामीटर Child SA वरही लागू होतात असे Apple ची स्कीमा सांगते। तो वारसा सोयीचा आहे, आणि कोणीही जाणीवपूर्वक न निवडलेली मूल्ये प्रोफाइलमध्ये अशीच राहतात।
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>मूल्ये जुळली तरी दोन्ही ओळी उपयोजन नोंदीत लिहा। मग पुनरावलोकनकर्ता पाहू शकतो की Child SA अपघाताने वारशाने मिळाले नाही तर विचारात घेतले गेले, आणि एका ओळीतील नंतरचा बदल दुसरीला शांतपणे बदलत नाही।
स्ट्रिंग कॉपी करण्यापूर्वी प्रत्येक कीचा अर्थ तपासा
चार किल्ल्या दुसऱ्या उत्पादनाच्या प्रस्ताव स्ट्रिंगशी अदलाबदल करता येणाऱ्या नाहीत। अल्गोरिदमची नावे अंमलबजावणीवर अवलंबून असतात, म्हणून Apple च्या फील्डमध्ये strongSwan प्रस्ताव पेस्ट करण्याऐवजी प्रत्येक बाजूच्या दस्तऐवजी सिंटॅक्सद्वारे निवडलेला संच भाषांतरित करा।
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
“सर्वात मोठा गट क्रमांक वापरा” ही निवड पद्धत नाही। गट ओळखण्या वेगवेगळ्या रचना दर्शवतात, आणि मोठा क्रमांक म्हणजे त्याच गोष्टीची अधिक मजबूत आवृत्ती असे सहज अर्थ नाही। गेटवेच्या मालकाकडून संपूर्ण संयोजन मंजूर करून घ्या, कारण संच संपूर्णपणे वैध किंवा अवैध असतो। मंजूर न केलेल्या गटासह मंजूर सिफर हा मंजूर न केलेला प्रस्ताव आहे, आणि तो एकतर अयशस्वी होईल किंवा कोणत्याही बाजूने दस्तऐवज न केलेल्या कशाकडे शांतपणे परत जाईल।
जुन्या अल्गोरिदमना निवृत्त करणाऱ्या आवृत्ती मर्यादा तपासा
Apple ची पेलोड स्कीमा DES, 3DES, SHA1-96, SHA1-160 आणि Diffie-Hellman गट 1, 2 आणि 5 यांना 26 पूर्वीच्या macOS आवृत्त्यांपर्यंत मर्यादित करते। जुन्या उपयोजनातून आणलेल्या प्रोफाइलमध्ये ती मूल्ये अजूनही असू शकतात आणि ते अजूनही जुन्या गेटवेशी जोडले जाऊ शकते, आणि कार्यरत संरचना निवृत्तीची तारीख लपवते तो नेमका हाच प्रसंग आहे।
प्रोफाइल तयार करण्यापूर्वी समर्थित Mac आवृत्त्या आणि गेटवे जी प्रस्ताव धोरणे राखते ती मिळवा। मग छेदन निवडा आणि उर्वरित पर्याय का वगळले गेले ते नोंदवा। “गेटवे जुन्या क्लायंटसाठी अजूनही गट 2 देतो” अशी नोंद इतिहास नसलेल्या सिफर यादीपेक्षा अधिक मूल्यवान आहे। ती नोंद नसल्यास पुढील पुनरावलोकनकर्ता जाणीवपूर्वक केलेला अपवाद आणि दुर्लक्ष यात फरक करू शकत नाही।
प्रमाणीकरण स्वतंत्र ओळीत तपासा
प्रस्तावावरील सहमती चुकीची सर्व्हर ओळख दुरुस्त करत नाही। गेटवे ओळख, प्रमाणपत्रावरील विश्वास आणि वापरकर्ता किंवा उपकरणाची क्रेडेन्शियल्स या स्वतंत्र निर्णय आहेत, आणि अल्गोरिदम पूर्णपणे जुळलेले असतानाही प्रत्येक अयशस्वी होऊ शकतो। प्रमाणपत्राचा स्वाक्षरी अल्गोरिदम बदलणे हे IKE एन्क्रिप्शन अल्गोरिदम निवडण्यासारखेच कृत्य नाही, जरी दोन्ही एकाच पुनरावलोकनात दिसत असले तरी।
अपेक्षित सर्व्हर ओळख नोंदीत प्रस्तावाच्या शेजारी ठेवा। प्रमाणपत्र बदलानंतर कनेक्शन अयशस्वी झाल्यास ती जोडी पुढील व्यक्तीला सांगते की आधी वाटाघाटी हलली की विश्वासाचा निर्णय।
एक उच्चावचन उपयोजित करा आणि कशावर वाटाघाटी झाली ते तपासा
संस्थेचा समर्थित वितरण कार्यप्रवाह वापरा आणि प्रोफाइल ओळखकर्ता, उच्चावचन, लक्ष्य Mac आवृत्त्या आणि जुळणारे गेटवे धोरण नोंदवा। जोडता येत नाहीत अशा उपकरणांना दस्तऐवजी पुनर्प्राप्ती मार्ग द्या, आणि ज्याची मालकी कोणीही स्थापित करू शकत नाही असे त्याच नावाचे दुसरे प्रोफाइल तयार करणे टाळा।
स्वीकृतीदरम्यान, मंजूर निदानाद्वारे स्थापित संरचना आणि वाटाघाटी झालेल्या IKE आणि Child संलग्नता तपासा। मग नियंत्रित नूतनीकरण सक्तीने करा, कारण पहिले कनेक्शन फक्त प्रारंभिक वाटाघाटी कार्यरत होती हे सिद्ध करते; आयुष्यातील विसंगती सहसा पहिल्या की बदलात, उपयोजन मंजूर झाल्यानंतर बराच काळानंतर दिसते।
स्वीकारलेला संच उच्चावचन नोंदीसोबत ठेवा। मग पुढील macOS अद्यतन किंवा गेटवे बदलाला तुलना करण्यासाठी आधाररेषा असेल, आज केवळ योगायोगाने जोडणाऱ्या प्रोफाइलऐवजी।