د Mac IKEv2 پروفایل: دواړه SA قاموسونه تنظیم کړئ، بیا ازموینه وکړئ
کله چې هغه قاموس نه وي، IKE پارامترونه د Child SA لخوا په میراث ورته رسیږي. دواړه ډک کړئ، نومونه وژباړئ او وګورئ چې خواوې په حقیقت کې پر څه موافقه وکړه.
بریالۍ اړیکه یوازې دا ثابتوي چې دواړو خواوو د ارزښتونو هغه ټولګه ومونده چې دوی یې مني۔ د Mac مدیر شوی IKEv2 پروفایل د امنیت-اړیکې دوه قاموسونه لري، ګېټوې خپل وړاندیز لیست لري، او اړیکه د هر هغه تقاطع پر بنسټ بریالۍ کیږي چې دواړه خواوې یې اجازه ورکوي۔ لاندې کتنې په ترتیب سره ترسره کړئ، او د بل سایفر د زیاتولو او د دې کتلو پر ځای چې ایا مرسته کوي، هغه ځای ودریږئ چې دواړه خواوې سره نه یوځای کیږي۔ هر ګام د پروفایل بېل پوړ خارجوي۔
د هر ارزښت د سمون مخکې دواړه قاموسونه وګورئ
د VPN بار د IKEv2 تنظیماتو کې، IKESecurityAssociationParameters د IKE اړیکه او ChildSecurityAssociationParameters د Child SA تشریح کوي۔ د Apple سکیما وایي چې کله دویم قاموس نه وي، IKE پارامترونه Child SA ته هم تطبیق کیږي۔ دا میراث اسانه دی، او په همدې توګه پروفایل هغو ارزښتونو ته رسیږي چې هیڅوک په شعوري توګه نه دي ټاکلي۔
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>د ارزښتونو د ورته والي سره سره دواړه کرښې په ځای پرځای کولو ریکارډ کې ولیکئ۔ بیا بیاکتونکی لیدلی شي چې Child SA په پام کې نیول شوی نه چې په ناڅاپي ډول په میراث ورکړل شوی، او په یوه کرښه کې وروستی بدلون بل ته په خاموشۍ بدلون نه ورکوي۔
د کاپي کولو مخکې د هر کلی د معنا کتنه وکړئ
څلور کیلي د بل محصول د وړاندیز تار سره د تبادلې وړ نه دي۔ د الګوریتم نومونه د تطبیق پورې تړلي دي، نو د Apple په ساحه کې د strongSwan وړاندیز د نښلولو پر ځای د هرې خوا مستند نحو له لارې ټاکل شوې ټولګه وژباړئ۔
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«ترټولو لوی ګروپ شمېره وکاروئ» د ټاکلو طریقه نه ده۔ د ګروپ پیژندونکي بېلابېل جوړښتونه ښیي، او لویه شمېره یوازې د هغه شی قوي نسخه نه معنی کوي۔ د ګېټې مالک دې بشپړ ترکیب تصویب کړي، ځکه چې ټولګه په ټولیز ډول معتبره یا نامعتبره ده۔ تصویب شوی سایفر د ناتصویب شوي ګروپ سره ناتصویب شوی وړاندیز دی، او هغه به یا ناکام شي یا په خاموشۍ د هغه څه پر لور وګرځي چې هیڅ خوا نه دی مستند کړی۔
هغه نسخې محدودیتونه وګورئ چې زاړه الګوریتمونه تقاعد کوي
د Apple د بار سکیما DES، 3DES، SHA1-96، SHA1-160 او د Diffie-Hellman 1، 2 او 5 ګروپونه د 26 څخه دمخه macOS نسخو پورې محدودوي۔ له زاړه ځای پرځای کولو څخه راوړل شوی پروفایل ممکن لا هم یو له دغو ارزښتونو ولري او لا هم زاړه ګېټې ته ووصل شي، او دا هغه حالت دی چې فعاله ترتیبات د وتلو نېټه پټوي۔
د پروفایل د جوړولو مخکې ملاتړ شوې Mac نسخې او هغه وړاندیز پالیسي ترلاسه کړئ چې ګېټه یې ساتي۔ بیا تقاطع وټاکئ او ولیکئ چې ولې پاتې انتخابونه خارج شول۔ «ګېټه لا هم زاړه پیریدونکو ته ګروپ 2 وړاندې کوي» یادښت له تاریخ پرته د سایفر لیست څخه ډېر ارزښت لري۔ پرته له دې یادښت څخه راتلونکی بیاکتونکی د قصدي استثنا او بې پامۍ ترمنځ توپیر نه شي کولی۔
تصدیق په خپله کرښه کې وګورئ
د وړاندیز په اړه موافقه د سرور غلط هویت نه اصلاح کوي۔ د ګېټې هویت، پر سند باور او د کارونکي یا وسیلې اسناد بېلې پرېکړې دي، او هر یو یې کیدای شي ناکام شي پداسې حال کې چې الګوریتمونه په بشپړ ډول سمون لري۔ د سند د لاسلیک الګوریتم بدلول د IKE د کوډ کولو الګوریتم د ټاکلو سره یو شان عمل نه دی، که څه هم دواړه په یوه بیاکتنه کې ښکاري۔
د تمه شوي سرور هویت په ریکارډ کې د وړاندیز ترڅنګ وساتئ۔ کله چې د سند له بدلون وروسته اړیکه ناکامه شي، هغه جوړه بل کس ته وایي چې لومړی خبرې اترې وښویېدې که د باور پرېکړه۔
یوه بیاکتنه ځای پرځای کړئ او وګورئ چې پر څه موافقه شوې
د سازمان ملاتړ شوی وېش کاري بهیر وکاروئ او د پروفایل پیژندونکی، بیاکتنه، موخه Mac نسخې او سمون لرونکې ګېټې پالیسي ولیکئ۔ هغو وسیلو ته چې نشي وصل کیدای مستند بیا رغونې لاره ورکړئ، او د هماغه نوم دویم پروفایل جوړول څخه ډډه وکړئ چې مالکیت یې هیڅوک نشي ټاکلی۔
د منلو پر مهال، د تصویب شوي تشخیص له لارې نصب شوې ترتیبات او د IKE او Child هغه اړیکې وګورئ چې پرې موافقه شوې۔ بیا کنټرول شوې نوي کول ته اړ کړئ، ځکه چې لومړۍ اړیکه یوازې دا ثابتوي چې لومړنیو خبرو اترو کار کړی؛ د ژوند مودې ناسمونې معمولا په لومړي کیلي بدلون کې، د ځای پرځای کولو له تصویب ډېر وروسته ښکاري۔
منل شوې ټولګه د بیاکتنې ریکارډ سره یوځای وساتئ۔ بیا راتلونکی macOS تازه کول یا د ګېټې بدلون د پرتله کولو لپاره بنسټ کرښه لري، نه هغه پروفایل چې نن یوازې په ناڅاپي ډول وصل کیږي۔