Profil IKEv2 Mac: tetapkan kedua-dua kamus SA, kemudian uji

Sambungan yang berjaya hanya membuktikan bahawa kedua-dua hujung menemui set nilai yang mereka terima. Profil IKEv2 Mac terurus membawa dua kamus persatuan keselamatan, gateway mempunyai senarai cadangannya sendiri, dan sambungan berjaya pada mana-mana persilangan yang dibenarkan oleh kedua-dua pihak. Lakukan pemeriksaan di bawah mengikut urutan, dan berhenti di tempat kedua-dua hujung tidak bersetuju daripada menambah satu lagi sifer untuk melihat sama ada ia membantu. Setiap langkah mengecualikan lapisan profil yang berbeza.

Periksa kedua-dua kamus sebelum mengedit nilai

Di dalam tetapan IKEv2 muatan VPN, IKESecurityAssociationParameters menerangkan persatuan IKE dan ChildSecurityAssociationParameters menerangkan Child SA. Skema Apple menyatakan bahawa parameter IKE juga terpakai kepada Child SA apabila kamus kedua tiada. Pewarisan itu memudahkan, dan begitulah cara profil berakhir dengan nilai yang tidak dipilih secara sedar oleh sesiapa.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Tulis kedua-dua baris dalam rekod penggunaan walaupun nilainya sepadan. Penyemak kemudian dapat melihat bahawa Child SA telah dipertimbangkan, bukan diwarisi secara tidak sengaja, dan perubahan kemudian pada satu baris tidak mengubah yang lain secara senyap.

Periksa maksud setiap kunci sebelum menyalin rentetan

Empat kunci itu tidak boleh ditukar ganti dengan rentetan cadangan daripada produk lain. Nama algoritma bergantung pada pelaksanaan, jadi terjemah suite yang dipilih melalui sintaks berdokumen setiap pihak daripada menampal cadangan strongSwan ke dalam medan Apple.

„Gunakan nombor kumpulan terbesar” bukan kaedah pemilihan. Pengecam kumpulan menamakan binaan yang berbeza, dan nombor yang lebih tinggi tidak semestinya bermaksud versi yang lebih kuat bagi perkara yang sama. Dapatkan kelulusan pemilik gateway untuk kombinasi penuh, kerana sesuatu suite sah atau tidak sah secara keseluruhan. Sifer yang diluluskan dengan kumpulan yang tidak diluluskan ialah cadangan yang tidak diluluskan, dan ia akan gagal atau secara senyap kembali kepada sesuatu yang tidak didokumenkan oleh mana-mana pihak.

Periksa had versi yang mempersarakan algoritma lama

Skema muatan Apple mengehadkan DES, 3DES, SHA1-96, SHA1-160 dan kumpulan Diffie-Hellman 1, 2 dan 5 kepada versi macOS sebelum 26. Profil yang dibawa dari penggunaan lama mungkin masih mengandungi salah satu nilai itu dan masih bersambung ke gateway lama, dan itulah tepatnya keadaan apabila konfigurasi yang berfungsi menyembunyikan tarikh persaraan.

Dapatkan versi Mac yang disokong dan dasar cadangan yang dikekalkan oleh gateway sebelum membina profil. Kemudian pilih persilangan dan catat mengapa pilihan yang tinggal dikecualikan. Nota bahawa „gateway masih menawarkan kumpulan 2 untuk klien lama” lebih bernilai daripada senarai sifer tanpa sejarah. Tanpa nota itu, penyemak seterusnya tidak dapat membezakan pengecualian yang disengajakan daripada kecuaian.

Periksa pengesahan pada barisnya sendiri

Persetujuan mengenai cadangan tidak membaiki identiti pelayan yang salah. Identiti gateway, kepercayaan pada sijil dan kelayakan pengguna atau peranti ialah keputusan berasingan, dan setiap satu boleh gagal walaupun algoritma sejajar sempurna. Menukar algoritma tandatangan sijil bukan tindakan yang sama seperti memilih algoritma penyulitan IKE, walaupun kedua-duanya muncul dalam semakan yang sama.

Simpan identiti pelayan yang dijangka di sebelah cadangan dalam rekod. Apabila sambungan gagal selepas perubahan sijil, pasangan itu memberitahu orang seterusnya sama ada rundingan atau keputusan kepercayaan bergerak dahulu.

Gunakan satu semakan dan periksa apa yang dirundingkan

Gunakan aliran kerja pengedaran yang disokong organisasi dan catat pengecam profil, semakan, versi Mac sasaran dan dasar gateway yang sepadan. Beri peranti yang tidak dapat bersambung laluan pemulihan yang berdokumen, dan elakkan mencipta profil kedua dengan nama yang sama yang pemilikannya tidak dapat ditetapkan oleh sesiapa.

Semasa penerimaan, periksa konfigurasi yang dipasang dan persatuan IKE serta Child yang dirundingkan melalui diagnostik yang diluluskan. Kemudian paksa pembaharuan terkawal, kerana sambungan pertama hanya membuktikan bahawa rundingan awal berjaya; ketidakpadanan jangka hayat biasanya muncul pada pertukaran kunci pertama, jauh selepas penggunaan diluluskan.

Simpan suite yang diterima bersama rekod semakan. Kemas kini macOS atau perubahan gateway seterusnya kemudian mempunyai garis dasar untuk dibandingkan, bukan profil yang kebetulan hanya bersambung hari ini.