Mac IKEv2 profil: postavite oba SA rječnika, zatim testirajte
IKE parametre nasljeđuje Child SA kada taj rječnik nedostaje. Popunite oba, prevedite nazive i provjerite što su strane zaista dogovorile.
Uspješno povezivanje dokazuje samo da su obje strane našle skup vrijednosti koje prihvataju. Upravljani Mac IKEv2 profil nosi dva rječnika sigurnosne asocijacije, gateway ima svoju listu prijedloga, a veza uspijeva na onom presjeku koji obje strane dozvole. Izvedite provjere ispod redom i zaustavite se tamo gdje se dvije strane ne slažu, umjesto da dodajete još jednu šifru da vidite hoće li pomoći. Svaki korak isključuje drugi sloj profila.
Provjerite oba rječnika prije nego uredite vrijednost
Unutar IKEv2 postavki VPN payloada, IKESecurityAssociationParameters opisuje IKE asocijaciju, a ChildSecurityAssociationParameters opisuje Child SA. Appleova shema navodi da se IKE parametri primjenjuju i na Child SA kada drugi rječnik nedostaje. To nasljeđivanje je zgodno, i upravo tako profil završi s vrijednostima koje niko nije svjesno odabrao.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Upišite oba reda u zapis o implementaciji čak i kada se vrijednosti poklapaju. Recenzent tada može vidjeti da je Child SA razmotren, a ne slučajno naslijeđen, i kasnija izmjena jednog reda ne mijenja tiho drugi.
Provjerite šta svaki ključ znači prije nego kopirate string
Četiri ključa nisu zamjenjiva sa stringom prijedloga iz drugog proizvoda. Nazivi algoritama zavise od implementacije, zato prevedite odabrani skup kroz dokumentovanu sintaksu svake strane, umjesto da zalijepite strongSwan prijedlog u Appleovo polje.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
„Koristite najveći broj grupe” nije metoda odabira. Identifikatori grupa označavaju različite konstrukcije, i veći broj ne znači jednostavno jaču verziju iste stvari. Neka vlasnik gatewaya odobri kompletnu kombinaciju, jer je skup valjan ili nevaljan kao cjelina. Odobrena šifra s neodobrenom grupom je neodobren prijedlog, i on će ili pasti ili se tiho vratiti na nešto što nijedna strana nije dokumentovala.
Provjerite ograničenja verzija koja penzionišu stare algoritme
Appleova shema payloada ograničava DES, 3DES, SHA1-96, SHA1-160 i Diffie-Hellman grupe 1, 2 i 5 na macOS verzije prije 26. Profil prenesen iz starije implementacije može još sadržavati jednu od tih vrijednosti i još se povezivati sa starim gatewayem, a to je upravo slučaj u kojem radna konfiguracija skriva datum ukidanja.
Nabavite podržane Mac verzije i politiku prijedloga koju gateway održava prije nego izgradite profil. Zatim odaberite presjek i zabilježite zašto su preostale opcije isključene. Napomena „gateway još nudi grupu 2 za stare klijente” vrijedi više od liste šifri bez historije. Bez te napomene sljedeći recenzent ne može razlikovati namjerni izuzetak od propusta.
Provjerite autentifikaciju na zasebnom redu
Sporazum o prijedlogu ne popravlja pogrešan identitet servera. Identitet gatewaya, povjerenje u certifikat i kredencijali korisnika ili uređaja su odvojene odluke, i svaka može pasti dok su algoritmi savršeno usklađeni. Mijenjanje algoritma potpisa certifikata nije isti čin kao odabir IKE algoritma šifrovanja, iako se oba pojavljuju u istom pregledu.
Držite očekivani identitet servera pored prijedloga u zapisu. Kada veza padne nakon promjene certifikata, taj par govori sljedećoj osobi da li se prvo pomjerilo pregovaranje ili odluka o povjerenju.
Implementirajte jednu reviziju i pregledajte šta je dogovoreno
Koristite podržani proces distribucije organizacije i zabilježite identifikator profila, reviziju, ciljne Mac verzije i odgovarajuću gateway politiku. Dajte uređajima koji se ne mogu povezati dokumentovan put oporavka i izbjegavajte stvaranje drugog profila s istim imenom čije vlasništvo niko ne može utvrditi.
Tokom prihvatanja pregledajte instaliranu konfiguraciju i dogovorene IKE i Child asocijacije kroz odobrenu dijagnostiku. Zatim forsirajte kontrolisano obnavljanje, jer prva veza dokazuje samo da je početno pregovaranje radilo; neusklađenost životnog vijeka obično se pojavi pri prvom rekeyu, dugo nakon što je implementacija odobrena.
Držite prihvaćeni skup uz zapis o reviziji. Sljedeće macOS ažuriranje ili promjena gatewaya tada ima osnovu za poređenje umjesto profila koji se danas samo slučajno povezuje.