Mac IKEv2-profiel: stel beide SA-woordenboeken in en test daarna

Een geslaagde verbinding bewijst alleen dat beide uiteinden een set waarden hebben gevonden die ze accepteren. Een beheerd Mac IKEv2-profiel bevat twee beveiligingsassociatie-woordenboeken, de gateway heeft zijn eigen voorstellenlijst en de verbinding slaagt op elke doorsnede die beide kanten toestaan. Voer de controles hieronder in volgorde uit en stop waar de twee uiteinden het oneens zijn, in plaats van nog een cipher toe te voegen om te kijken of dat helpt. Elke stap sluit een andere laag van het profiel uit.

Controleer beide woordenboeken voordat u een waarde wijzigt

Binnen de IKEv2-instellingen van de VPN-payload beschrijft IKESecurityAssociationParameters de IKE-associatie en ChildSecurityAssociationParameters de Child SA. Apples schema stelt dat de IKE-parameters ook voor de Child SA gelden wanneer het tweede woordenboek ontbreekt. Die overerving is handig, en zo komt een profiel aan waarden die niemand bewust heeft gekozen.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Schrijf beide rijen in het uitrolrecord, ook wanneer de waarden overeenkomen. Een beoordelaar kan dan zien dat de Child SA is overwogen in plaats van per ongeluk geërfd, en een latere wijziging aan de ene rij verandert de andere niet stilzwijgend.

Controleer wat elke sleutel betekent voordat u een tekenreeks kopieert

De vier sleutels zijn niet uitwisselbaar met een voorsteltekst uit een ander product. De algoritmenamen zijn implementatiespecifiek, dus vertaal de gekozen suite via de gedocumenteerde syntaxis van elke kant in plaats van een strongSwan-voorstel in een Apple-veld te plakken.

„Gebruik het grootste groepsnummer” is geen selectiemethode. Groepsidentificaties duiden verschillende constructies aan, en een hoger nummer betekent niet simpelweg een sterkere versie van hetzelfde. Laat de eigenaar van de gateway de volledige combinatie goedkeuren, want een suite is als geheel geldig of ongeldig. Een goedgekeurde cipher met een niet-goedgekeurde groep is een niet-goedgekeurd voorstel, en het zal ofwel mislukken ofwel stilzwijgend terugvallen op iets dat geen van beide kanten heeft gedocumenteerd.

Controleer de versiegrenzen die oude algoritmen buiten gebruik stellen

Het Apple-payloadschema beperkt DES, 3DES, SHA1-96, SHA1-160 en de Diffie-Hellman-groepen 1, 2 en 5 tot macOS-versies vóór 26. Een profiel dat uit een oudere uitrol is overgenomen, kan nog een van die waarden bevatten en nog steeds verbinden met een oude gateway, en dat is precies het geval waarin een werkende configuratie een uitfaserdatum verbergt.

Vraag de ondersteunde Mac-versies en het voorstelbeleid dat de gateway onderhoudt op voordat u het profiel bouwt. Kies dan de doorsnede en leg vast waarom de resterende opties zijn uitgesloten. Een notitie dat „de gateway nog groep 2 biedt voor oude clients” is meer waard dan een cipherlijst zonder geschiedenis. Zonder die notitie kan de volgende beoordelaar een bewuste uitzondering niet van een vergissing onderscheiden.

Controleer de authenticatie op een eigen regel

Overeenstemming over een voorstel herstelt geen verkeerde serveridentiteit. Gateway-identiteit, vertrouwen in het certificaat en de inloggegevens van de gebruiker of het apparaat zijn afzonderlijke beslissingen, en elk daarvan kan mislukken terwijl de algoritmen perfect op elkaar aansluiten. Het wijzigen van het handtekeningalgoritme van een certificaat is niet dezelfde handeling als het kiezen van het IKE-versleutelingsalgoritme, ook al verschijnen beide in dezelfde beoordeling.

Houd de verwachte serveridentiteit naast het voorstel in het record. Wanneer een verbinding mislukt na een certificaatwijziging, vertelt dat paar de volgende persoon of de onderhandeling of de vertrouwensbeslissing het eerst bewoog.

Rol één revisie uit en inspecteer wat er is onderhandeld

Gebruik de ondersteunde distributieworkflow van de organisatie en leg de profielidentificatie, de revisie, de doel-Mac-versies en het bijbehorende gatewaybeleid vast. Geef apparaten die niet kunnen verbinden een gedocumenteerd herstelpad, en voorkom een tweede profiel met dezelfde naam waarvan niemand het eigenaarschap kan vaststellen.

Inspecteer tijdens de acceptatie de geïnstalleerde configuratie en de onderhandelde IKE- en Child-associaties via goedgekeurde diagnostiek. Forceer daarna een gecontroleerde vernieuwing, want de eerste verbinding bewijst alleen dat de eerste onderhandeling werkte; een levensduurverschil verschijnt meestal bij de eerste sleutelwissel, lang nadat de uitrol is goedgekeurd.

Bewaar de geaccepteerde suite bij het revisierecord. Dan heeft de volgende macOS-update of gatewaywijziging een basislijn om mee te vergelijken in plaats van een profiel dat vandaag toevallig alleen verbinding maakt.