Profil IKEv2 pre Mac: nastavte oba slovníky SA a potom testujte

Parametre IKE dedí Child SA, keď tento slovník chýba. Vyplňte oba, preložte názvy a skontrolujte, čo si strany skutočne vyjednali.

Úspešné pripojenie dokazuje iba to, že obe strany našli sadu hodnôt, ktorú prijímajú. Spravovaný profil IKEv2 pre Mac nesie dva slovníky bezpečnostnej asociácie, brána má vlastný zoznam návrhov a spojenie uspeje na akomkoľvek prieniku, ktorý obe strany povolia. Vykonajte nižšie uvedené kontroly v poradí a zastavte sa tam, kde sa obe strany rozchádzajú, namiesto pridávania ďalšej šifry, aby ste zistili, či pomôže. Každý krok vylučuje inú vrstvu profilu.

Skontrolujte oba slovníky, skôr než upravíte hodnotu

V nastaveniach IKEv2 užitočného zaťaženia VPN IKESecurityAssociationParameters opisuje asociáciu IKE a ChildSecurityAssociationParameters opisuje Child SA. Schéma Apple uvádza, že parametre IKE platia aj pre Child SA, keď druhý slovník chýba. Toto dedenie je pohodlné a práve tak sa profil dostane k hodnotám, ktoré nikto vedome nezvolil.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Zapíšte oba riadky do záznamu o nasadení, aj keď sa hodnoty zhodujú. Recenzent potom vidí, že Child SA bola zvážená, a nie náhodou zdedená, a neskoršia zmena jedného riadku ticho nezmení druhý.

Skontrolujte, čo každý kľúč znamená, skôr než skopírujete reťazec

Štyri kľúče nie sú zameniteľné s reťazcom návrhu z iného produktu. Názvy algoritmov závisia od implementácie, preto preložte zvolenú sadu cez dokumentovanú syntax každej strany, namiesto vkladania návrhu strongSwan do poľa Apple.

KeyHoldsCommon mistake
EncryptionAlgorithmCipher for that associationAssuming an AEAD name also sets integrity
IntegrityAlgorithmIntegrity for the chosen suiteLeaving it set for an AEAD suite that does not use one
DiffieHellmanGroupNumeric group identifierReading the number as key size in bits
LifeTimeInMinutesAssociation lifetimeSetting it shorter than the gateway's renewal margin

„Použite najvyššie číslo skupiny“ nie je metóda výberu. Identifikátory skupín označujú rôzne konštrukcie a vyššie číslo neznamená jednoducho silnejšiu verziu tej istej veci. Nechajte vlastníka brány schváliť celú kombináciu, pretože sada je platná alebo neplatná ako celok. Schválená šifra s neschválenou skupinou je neschválený návrh a buď zlyhá, alebo ticho prejde na niečo, čo žiadna strana nedokumentovala.

Skontrolujte limity verzií, ktoré vyraďujú staré algoritmy

Schéma užitočného zaťaženia Apple obmedzuje DES, 3DES, SHA1-96, SHA1-160 a skupiny Diffie-Hellman 1, 2 a 5 na verzie macOS pred 26. Profil prenesený zo staršieho nasadenia môže stále obsahovať jednu z týchto hodnôt a stále sa pripájať k starej bráne, a to je práve prípad, keď funkčná konfigurácia skrýva dátum vyradenia.

Pred zostavením profilu získajte podporované verzie Mac a politiku návrhov, ktorú brána udržiava. Potom zvoľte prienik a zaznamenajte, prečo boli zostávajúce možnosti vylúčené. Poznámka „brána stále ponúka skupinu 2 pre starých klientov“ má väčšiu cenu než zoznam šifier bez histórie. Bez tejto poznámky ďalší recenzent nerozozná zámernú výnimku od opomenutia.

Skontrolujte autentizáciu na samostatnom riadku

Zhoda na návrhu neopraví nesprávnu identitu servera. Identita brány, dôvera v certifikát a prihlasovacie údaje používateľa alebo zariadenia sú samostatné rozhodnutia a každé môže zlyhať, zatiaľ čo algoritmy sú dokonale zladené. Zmena podpisového algoritmu certifikátu nie je rovnaký úkon ako voľba šifrovacieho algoritmu IKE, hoci sa oboje objaví v tej istej recenzii.

Uchovajte očakávanú identitu servera vedľa návrhu v zázname. Keď spojenie po zmene certifikátu zlyhá, táto dvojica povie ďalšiemu človeku, čo sa pohlo prvé: vyjednávanie alebo rozhodnutie o dôvere.

Nasaďte jednu revíziu a prezrite, čo bolo vyjednané

Použite podporovaný distribučný postup organizácie a zaznamenajte identifikátor profilu, revíziu, cieľové verzie Mac a zodpovedajúcu politiku brány. Zariadeniam, ktoré sa nemôžu pripojiť, dajte dokumentovanú cestu obnovy a vyhnite sa vytvoreniu druhého profilu s rovnakým názvom, ktorého vlastníctvo nikto nedokáže určiť.

Počas prevzatia prezrite nainštalovanú konfiguráciu a vyjednané asociácie IKE a Child pomocou schválenej diagnostiky. Potom vynúťte riadenú obnovu, pretože prvé spojenie dokazuje iba to, že počiatočné vyjednávanie fungovalo; nesúlad životnosti sa zvyčajne objaví pri prvej výmene kľúčov, dlho po schválení nasadenia.

Uchovajte prijatú sadu pri zázname revízie. Potom má najbližšia aktualizácia macOS alebo zmena brány základ pre porovnanie namiesto profilu, ktorý sa dnes len náhodou pripája.

Súvisiace články