Mac IKEv2-profil: angi begge SA-ordbøkene, og test deretter

En vellykket tilkobling beviser bare at begge ender har funnet et sett med verdier de godtar. En administrert Mac IKEv2-profil inneholder to sikkerhetsassosiasjon-ordbøker, gatewayen har sin egen forslagsliste, og tilkoblingen lykkes på det felles snittet begge sider tillater. Utfør kontrollene nedenfor i rekkefølge, og stopp der de to endene er uenige i stedet for å legge til enda en chiffre for å se om det hjelper. Hvert trinn utelukker et annet lag av profilen.

Kontroller begge ordbøkene før du redigerer en verdi

Innerst i IKEv2-innstillingene til VPN-nyttelasten beskriver IKESecurityAssociationParameters IKE-assosiasjonen, og ChildSecurityAssociationParameters beskriver Child SA. Apples skjema sier at IKE-parameterne også gjelder for Child SA når den andre ordboken mangler. Den arven er praktisk, og det er nettopp slik en profil ender opp med verdier ingen bevisst har valgt.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Skriv begge radene inn i distribusjonsposten selv når verdiene stemmer. Da kan en gjennomleser se at Child SA ble vurdert og ikke arvet ved uhell, og en senere endring i én rad endrer ikke den andre i det stille.

Kontroller hva hver nøkkel betyr før du kopierer en streng

De fire nøklene kan ikke byttes ut med en forslagsstreng fra et annet produkt. Algoritmenavnene avhenger av implementasjonen, så oversett det valgte settet via hver sides dokumenterte syntaks i stedet for å lime inn et strongSwan-forslag i et Apple-felt.

«Bruk det største gruppenummeret» er ikke en utvelgelsesmetode. Gruppeidentifikatorer betegner ulike konstruksjoner, og et høyere nummer betyr ikke bare en sterkere versjon av det samme. La eieren av gatewayen godkjenne hele kombinasjonen, fordi et sett er gyldig eller ugyldig som helhet. En godkjent chiffre med en ikke-godkjent gruppe er et ikke-godkjent forslag, og det vil enten feile eller stille falle tilbake til noe ingen av sidene har dokumentert.

Kontroller versjonsgrensene som pensjonerer gamle algoritmer

Apples nyttelastskjema begrenser DES, 3DES, SHA1-96, SHA1-160 og Diffie-Hellman-gruppe 1, 2 og 5 til macOS-versjoner før 26. En profil som er overført fra en eldre distribusjon, kan fortsatt inneholde en av disse verdiene og fortsatt koble til en gammel gateway, og det er nettopp tilfellet der en fungerende konfigurasjon skjuler en nedleggelsesdato.

Skaff de støttede Mac-versjonene og forslagspolitikken gatewayen vedlikeholder før du bygger profilen. Velg deretter snittet og registrer hvorfor de resterende alternativene ble utelukket. Et notat om at «gatewayen tilbyr fortsatt gruppe 2 for eldre klienter» er mer verdt enn en chiffre-liste uten historie. Uten det notatet kan neste gjennomleser ikke skille et bevisst unntak fra en forglemmelse.

Kontroller autentiseringen på sin egen linje

Enighet om et forslag reparerer ikke en feil serveridentitet. Gateway-identitet, tillit til sertifikatet og brukerens eller enhetens påloggingsinformasjon er separate beslutninger, og hver av dem kan feile mens algoritmene er perfekt samstemte. Å endre signaturalgoritmen til et sertifikat er ikke den samme handlingen som å velge IKE-krypteringsalgoritmen, selv om begge vises i samme gjennomgang.

Hold den forventede serveridentiteten ved siden av forslaget i posten. Når en tilkobling feiler etter en sertifikatendring, forteller det paret neste person om det var forhandlingen eller tillitsbeslutningen som flyttet seg først.

Rull ut én revisjon og inspiser hva som ble forhandlet

Bruk organisasjonens støttede distribusjonsarbeidsflyt og registrer profilidentifikatoren, revisjonen, mål-Mac-versjonene og den samsvarende gateway-politikken. Gi enheter som ikke kan koble til en dokumentert gjenopprettingsvei, og unngå å opprette en annen profil med samme navn som ingen kan fastslå eierskapet til.

Under godkjenningen, inspiser den installerte konfigurasjonen og de forhandlede IKE- og Child-assosiasjonene via godkjent diagnostikk. Tving deretter en kontrollert fornyelse, fordi den første tilkoblingen bare beviser at den innledende forhandlingen virket; et avvik i levetid viser seg vanligvis ved første nøkkelbytte, lenge etter at distribusjonen er godkjent.

Hold det godkjente settet sammen med revisjonsposten. Da har neste macOS-oppdatering eller gatewayendring en grunnlinje å sammenligne med i stedet for en profil som bare tilfeldigvis kobler til i dag.