Mac IKEv2 प्रोफाइल: दुवै SA शब्दकोश सेट गर्नुहोस्, त्यसपछि परीक्षण गर्नुहोस्
त्यो शब्दकोश नभएको अवस्थामा IKE प्यारामिटरहरू Child SA ले उत्तराधिकारमा पाउँछ। दुवै भर्नुहोस्, नामहरू अनुवाद गर्नुहोस् र समकक्षहरूले वास्तवमा के कुरामा वार्ता गरे भनी जाँच गर्नुहोस्।
सफल जडानले दुवै छेउले स्वीकार गर्ने मानहरूको समूह फेला पारेको मात्र प्रमाणित गर्छ। व्यवस्थापित Mac IKEv2 प्रोफाइलमा सुरक्षा-सम्बन्धका दुई शब्दकोश हुन्छन्, गेटवेको आफ्नै प्रस्ताव सूची हुन्छ, र दुवै पक्षले अनुमति दिने कुनै पनि प्रतिच्छेदमा जडान सफल हुन्छ। तलका जाँचहरू क्रममा गर्नुहोस्, र अर्को साइफर थपेर त्यसले सहयोग गर्छ कि भनेर हेर्नुको सट्टा दुवै छेउ असहमत भएको ठाउँमै रोकिनुहोस्। प्रत्येक चरणले प्रोफाइलको फरक तह हटाउँछ।
मान सम्पादन गर्नु अघि दुवै शब्दकोश जाँच्नुहोस्
VPN पेलोडको IKEv2 सेटिङमा, IKESecurityAssociationParameters ले IKE सम्बन्ध वर्णन गर्छ र ChildSecurityAssociationParameters ले Child SA वर्णन गर्छ। दोस्रो शब्दकोश नभएको अवस्थामा IKE प्यारामिटरहरू Child SA मा पनि लागू हुन्छन् भनी Apple को स्किमाले बताउँछ। त्यो उत्तराधिकार सुविधाजनक छ, र यसरी नै प्रोफाइलमा कसैले पनि सचेत रूपमा नछानेका मानहरू रहन्छन्।
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>मानहरू मिले पनि दुवै पंक्ति तैनाथी अभिलेखमा लेख्नुहोस्। त्यसपछि समीक्षकले Child SA संयोगवश उत्तराधिकारमा नभई विचार गरिएको देख्न सक्छ, र एउटा पंक्तिमा पछिको परिवर्तनले अर्कोलाई चुपचाप बदल्दैन।
स्ट्रिङ प्रतिलिपि गर्नु अघि प्रत्येक कुञ्जीको अर्थ जाँच्नुहोस्
चार कुञ्जीहरू अर्को उत्पादनको प्रस्ताव स्ट्रिङसँग अदलबदल गर्न मिल्ने छैनन्। एल्गोरिदमका नाम कार्यान्वयनमा निर्भर हुन्छन्, त्यसैले Apple को फिल्डमा strongSwan प्रस्ताव टाँस्नुको सट्टा प्रत्येक पक्षको अभिलेखित वाक्यरचनाबाट छानिएको सेट अनुवाद गर्नुहोस्।
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«सबैभन्दा ठूलो समूह नम्बर प्रयोग गर्नुहोस्» छनोट विधि होइन। समूह पहिचानकर्ताले फरक संरचनाहरू जनाउँछन्, र ठूलो नम्बर भन्नाले त्यही वस्तुको बलियो संस्करण मात्र होइन। गेटवेको मालिकलाई पूरा संयोजन स्वीकृत गराउनुहोस्, किनकि सेट समग्र रूपमा वैध वा अवैध हुन्छ। अस्वीकृत समूहसँग स्वीकृत साइफर अस्वीकृत प्रस्ताव हो, र त्यो या त असफल हुन्छ या कुनै पक्षले अभिलेख नगरेको कुनै कुरामा चुपचाप फर्कन्छ।
पुराना एल्गोरिदम अवकाशमा पठाउने संस्करण सीमाहरू जाँच्नुहोस्
Apple को पेलोड स्किमाले DES, 3DES, SHA1-96, SHA1-160 र Diffie-Hellman समूह 1, 2 र 5 लाई 26 अघिका macOS संस्करणसम्म सीमित गर्छ। पुरानो तैनाथीबाट सारिएको प्रोफाइलमा ती मानमध्ये एक अझै हुन सक्छ र त्यो अझै पुरानो गेटवेसँग जोडिन सक्छ, र कार्यरत कन्फिगरेसनले अवकाश मिति लुकाउने अवस्था ठ्याक्कै त्यही हो।
प्रोफाइल बनाउनु अघि समर्थित Mac संस्करणहरू र गेटवेले राख्ने प्रस्ताव नीति प्राप्त गर्नुहोस्। त्यसपछि प्रतिच्छेद छान्नुहोस् र बाँकी विकल्पहरू किन हटाइए भनी अभिलेख गर्नुहोस्। «गेटवेले पुराना ग्राहकका लागि अझै समूह 2 दिन्छ» भन्ने टिप्पणी इतिहास नभएको साइफर सूचीभन्दा बढी मूल्यवान छ। त्यो टिप्पणी नभएमा अर्को समीक्षकले जानाजान गरिएको अपवाद र बेवास्ता बीच फरक छुट्याउन सक्दैन।
प्रमाणीकरणलाई यसको आफ्नै पंक्तिमा जाँच्नुहोस्
प्रस्तावमा सहमति हुँदैमा गलत सर्भर पहिचान सुध्रिँदैन। गेटवे पहिचान, प्रमाणपत्रमाथिको विश्वास र प्रयोगकर्ता वा यन्त्रको प्रमाणहरू छुट्टाछुट्टै निर्णय हुन्, र एल्गोरिदम पूर्ण रूपमा मिलेको अवस्थामा पनि प्रत्येक असफल हुन सक्छ। प्रमाणपत्रको हस्ताक्षर एल्गोरिदम बदल्नु IKE इन्क्रिप्शन एल्गोरिदम छान्नुसरह एउटै कार्य होइन, यद्यपि दुवै एउटै समीक्षामा देखिन्छन्।
अपेक्षित सर्भर पहिचान अभिलेखमा प्रस्तावको छेउमा राख्नुहोस्। प्रमाणपत्र परिवर्तनपछि जडान असफल भएमा त्यो जोडीले अर्को व्यक्तिलाई पहिले वार्ता सर्यो कि विश्वासको निर्णय भनी बताउँछ।
एउटा संशोधन तैनाथ गर्नुहोस् र के कुरामा वार्ता भयो भनी निरीक्षण गर्नुहोस्
संस्थाको समर्थित वितरण कार्यप्रवाह प्रयोग गर्नुहोस् र प्रोफाइल पहिचानकर्ता, संशोधन, लक्ष्य Mac संस्करण र मिल्ने गेटवे नीति अभिलेख गर्नुहोस्। जोडिन नसक्ने यन्त्रहरूलाई अभिलेखित पुनर्प्राप्ति मार्ग दिनुहोस्, र जसको स्वामित्व कसैले पनि स्थापित गर्न नसक्ने त्यही नामको दोस्रो प्रोफाइल बनाउनबाट बच्नुहोस्।
स्वीकृतिका क्रममा, स्वीकृत निदानमार्फत स्थापित कन्फिगरेसन र वार्ता भएका IKE र Child सम्बन्धहरू निरीक्षण गर्नुहोस्। त्यसपछि नियन्त्रित नवीकरण बाध्य गर्नुहोस्, किनकि पहिलो जडानले प्रारम्भिक वार्ता काम गरेको मात्र प्रमाणित गर्छ; जीवनकालको असमझदारी सामान्यतया पहिलो कुञ्जी परिवर्तनमा, तैनाथी स्वीकृत भएको धेरै समयपछि देखिन्छ।
स्वीकृत सेटलाई संशोधन अभिलेखसँगै राख्नुहोस्। त्यसपछि अर्को macOS अद्यावधिक वा गेटवे परिवर्तनसँग तुलना गर्न आधाररेखा हुन्छ, आज मात्र संयोगले जोडिने प्रोफाइलको सट्टा।