Mac IKEv2-profil: set begge SA-ordbøkene, og test deretter

Ei vellukka tilkopling beviser berre at begge endar har funne eit sett med verdiar dei godtek. Ein administrert Mac IKEv2-profil inneheld to tryggingsassosiasjon-ordbøker, gatewayen har si eiga framleggsliste, og tilkoplinga lukkast på det felles snittet begge sider tillet. Utfør kontrollane nedanfor i rekkjefølgje, og stopp der dei to endane er usamde i staden for å leggje til endå ein chiffer for å sjå om det hjelper. Kvart steg utelukkar eit anna lag av profilen.

Kontroller begge ordbøkene før du redigerer ein verdi

Innerst i IKEv2-innstillingane til VPN-nyttelasta skildrar IKESecurityAssociationParameters IKE-assosiasjonen, og ChildSecurityAssociationParameters skildrar Child SA. Skjemaet til Apple seier at IKE-parameterane òg gjeld for Child SA når den andre ordboka manglar. Den arven er praktisk, og det er nettopp slik ein profil endar opp med verdiar ingen medvite har valt.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Skriv begge radene inn i distribusjonsposten sjølv når verdiane stemmer. Då kan ein gjennomlesar sjå at Child SA vart vurdert og ikkje arva ved uhell, og ei seinare endring i éi rad endrar ikkje den andre i det stille.

Kontroller kva kvar nøkkel tyder før du kopierer ein streng

Dei fire nøklane kan ikkje bytast ut med ein framleggsstreng frå eit anna produkt. Algoritmenamna er avhengige av implementasjonen, så set om det valde settet via den dokumenterte syntaksen til kvar side i staden for å lime inn eit strongSwan-framlegg i eit Apple-felt.

«Bruk det største gruppenummeret» er ikkje ein utvalsmetode. Gruppeidentifikatorar nemner ulike konstruksjonar, og eit høgare nummer tyder ikkje berre ein sterkare versjon av det same. La eigaren av gatewayen godkjenne heile kombinasjonen, fordi eit sett er gyldig eller ugyldig som heilskap. Eit godkjent chiffer med ei ikkje-godkjend gruppe er eit ikkje-godkjend framlegg, og det vil anten feile eller stille falle tilbake til noko ingen av sidene har dokumentert.

Kontroller versjonsgrensene som pensjonerer gamle algoritmar

Nyttelastskjemaet til Apple avgrensar DES, 3DES, SHA1-96, SHA1-160 og Diffie-Hellman-gruppe 1, 2 og 5 til macOS-versjonar før 26. Ein profil som er overført frå ein eldre distribusjon, kan framleis innehalde ein av desse verdiane og framleis kople til ein gamal gateway, og det er nettopp tilfellet der ein fungerande konfigurasjon skjuler ein nedleggingsdato.

Skaff dei støtta Mac-versjonane og framleggspolitikken gatewayen vedlikeheld før du byggjer profilen. Vel deretter snittet og registrer kvifor dei attverande alternativa vart utelukka. Eit notat om at «gatewayen tilbyr framleis gruppe 2 for eldre klientar» er meir verdt enn ei chiffer-liste utan historie. Utan det notatet kan neste gjennomlesar ikkje skilje eit medvite unntak frå ei gløymske.

Kontroller autentiseringa på si eiga line

Semje om eit framlegg reparerer ikkje ein feil serveridentitet. Gateway-identitet, tillit til sertifikatet og påloggingsinformasjonen til brukaren eller eininga er separate avgjerder, og kvar av dei kan feile medan algoritmane er perfekt samstemte. Å endre signaturalgoritmen til eit sertifikat er ikkje den same handlinga som å velje IKE-krypteringsalgoritmen, sjølv om begge viser seg i same gjennomgang.

Hald den forventa serveridentiteten ved sida av framlegget i posten. Når ei tilkopling feilar etter ei sertifikatendring, fortel det paret neste person om det var forhandlinga eller tillitsavgjerda som flytta seg først.

Rull ut éin revisjon og inspiser kva som vart forhandla

Bruk den støtta distribusjonsarbeidsflyten til organisasjonen og registrer profilidentifikatoren, revisjonen, mål-Mac-versjonane og den samsvarande gateway-politikken. Gi einingar som ikkje kan kople til ein dokumentert gjenopprettingsveg, og unngå å opprette ein annan profil med same namn som ingen kan fastslå eigarskapet til.

Under godkjenninga, inspiser den installerte konfigurasjonen og dei forhandla IKE- og Child-assosiasjonane via godkjend diagnostikk. Tving deretter ei kontrollert fornying, fordi den første tilkoplinga berre beviser at den innleiande forhandlinga virka; eit avvik i levetid viser seg vanlegvis ved første nøkkelbyte, lenge etter at distribusjonen er godkjend.

Hald det godkjende settet saman med revisjonsposten. Då har neste macOS-oppdatering eller gatewayendring ei grunnlinje å samanlikne med i staden for ein profil som berre tilfeldigvis koplar til i dag.