Profil IKEv2 za Mac: nastavite oba slovarja SA in nato preizkusite

Parametre IKE podeduje Child SA, ko ta slovar manjka. Izpolnite oba, prevedite imena in preverite, o čem so se strani dejansko dogovorile.

Uspešna povezava dokazuje le, da sta oba konca našla nabor vrednosti, ki jih sprejmeta. Upravljani profil IKEv2 za Mac vsebuje dva slovarja varnostne povezave, prehod ima svoj seznam predlogov in povezava uspe na katerem koli preseku, ki ga obe strani dovolita. Izvedite spodnje preveritve po vrsti in ustavite se tam, kjer se konca ne strinjata, namesto da dodate še eno šifro, da bi videli, ali pomaga. Vsak korak izključi drugo plast profila.

Preverite oba slovarja, preden uredite vrednost

V nastavitvah IKEv2 tovora VPN IKESecurityAssociationParameters opisuje povezavo IKE, ChildSecurityAssociationParameters pa opisuje Child SA. Shema Apple navaja, da parametri IKE veljajo tudi za Child SA, ko drugega slovarja ni. To dedovanje je priročno in prav tako profil konča z vrednostmi, ki jih nihče ni zavestno izbral.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

V oba zapisa vnesite obe vrstici, tudi ko se vrednosti ujemata. Pregledovalec lahko potem vidi, da je bil Child SA obravnavan in ne pomotoma podedovan, poznejša sprememba ene vrstice pa tiho ne spremeni druge.

Preverite, kaj pomeni vsak ključ, preden kopirate niz

Štirje ključi niso zamenljivi z nizom predloga iz drugega izdelka. Imena algoritmov so odvisna od implementacije, zato prevedite izbrani nabor skozi dokumentirano sintakso vsake strani, namesto da prilepite predlog strongSwan v polje Apple.

KeyHoldsCommon mistake
EncryptionAlgorithmCipher for that associationAssuming an AEAD name also sets integrity
IntegrityAlgorithmIntegrity for the chosen suiteLeaving it set for an AEAD suite that does not use one
DiffieHellmanGroupNumeric group identifierReading the number as key size in bits
LifeTimeInMinutesAssociation lifetimeSetting it shorter than the gateway's renewal margin

„Uporabite največjo številko skupine“ ni metoda izbire. Identifikatorji skupin označujejo različne konstrukcije in višja številka ne pomeni preprosto močnejše različice iste stvari. Naj lastnik prehoda odobri celotno kombinacijo, ker je nabor kot celota veljaven ali neveljaven. Odobrena šifra z neodobreno skupino je neodobren predlog in bo bodisi propadla bodisi se tiho vrnila na nekaj, česar nobena stran ni dokumentirala.

Preverite omejitve različic, ki upokojijo stare algoritme

Shema tovora Apple omejuje DES, 3DES, SHA1-96, SHA1-160 in skupine Diffie-Hellman 1, 2 in 5 na različice macOS pred 26. Profil, prenesen iz starejše namestitve, lahko še vedno vsebuje eno od teh vrednosti in se še vedno poveže s starim prehodom, in to je ravno primer, ko delujoča konfiguracija skriva datum umika.

Preden zgradite profil, pridobite podprte različice Mac in politiko predlogov, ki jo vzdržuje prehod. Nato izberite presek in zabeležite, zakaj so bile preostale možnosti izključene. Opomba, da „prehod še vedno ponuja skupino 2 za stare odjemalce“, je vredna več kot seznam šifer brez zgodovine. Brez te opombe naslednji pregledovalec ne more ločiti namerne izjeme od spregleda.

Preverite preverjanje pristnosti v svoji vrstici

Dogovor o predlogu ne popravi napačne identitete strežnika. Identiteta prehoda, zaupanje v potrdilo in poverilnice uporabnika ali naprave so ločene odločitve in vsaka lahko spodleti, medtem ko so algoritmi popolnoma usklajeni. Spreminjanje algoritma podpisa potrdila ni isto dejanje kot izbira algoritma šifriranja IKE, čeprav se oboje pojavi v istem pregledu.

Pričakovano identiteto strežnika hranite poleg predloga v zapisu. Ko povezava po spremembi potrdila spodleti, ta par pove naslednji osebi, ali se je prvo premaknilo pogajanje ali odločitev o zaupanju.

Namestite eno revizijo in preglejte, o čem se je dogovorilo

Uporabite podprt distribucijski potek dela organizacije in zabeležite identifikator profila, revizijo, ciljne različice Mac in ustrezno politiko prehoda. Napravam, ki se ne morejo povezati, dajte dokumentirano pot obnovitve in se izogibajte ustvarjanju drugega profila z istim imenom, katerega lastništva nihče ne more ugotoviti.

Med sprejemom preglejte nameščeno konfiguracijo in dogovorjene povezave IKE in Child z odobreno diagnostiko. Nato vsilite nadzorovano obnovitev, ker prva povezava dokaže le, da je začetno pogajanje delovalo; neskladje življenjske dobe se običajno pojavi pri prvi menjavi ključev, dolgo po odobritvi namestitve.

Sprejeti nabor hranite skupaj z zapisom revizije. Tako ima naslednja posodobitev macOS ali sprememba prehoda osnovno črto za primerjavo, namesto profila, ki se danes le slučajno poveže.

Sorodni članki