Profili IKEv2 për Mac: vendosni të dy fjalorët SA, pastaj provoni

Një lidhje e suksesshme provon vetëm se të dy skajet kanë gjetur një grup vlerash që i pranojnë. Një profil IKEv2 Mac i menaxhuar përmban dy fjalorë të asociimit të sigurisë, portiku ka listën e vet të propozimeve dhe lidhja arrin të krijohet në çdo prerje që lejojnë të dyja palët. Kryeni kontrollet më poshtë me radhë dhe ndaloni aty ku dy skajet nuk pajtohen, në vend që të shtoni një shifër tjetër për të parë nëse ndihmon. Çdo hap përjashton një shtresë tjetër të profilit.

Kontrolloni të dy fjalorët përpara se të ndryshoni një vlerë

Brenda cilësimeve IKEv2 të ngarkesës VPN, IKESecurityAssociationParameters përshkruan asociimin IKE dhe ChildSecurityAssociationParameters përshkruan Child SA. Skema e Apple thotë se parametrat IKE vlejnë edhe për Child SA kur mungon fjalori i dytë. Ky trashëgim është i përshtatshëm dhe pikërisht kështu profili përfundon me vlera që askush nuk i zgjodhi me vetëdije.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Shkruani të dy rreshtat në regjistrin e vendosjes edhe kur vlerat përputhen. Atëherë një rishikues mund të shohë se Child SA u mor në konsideratë dhe nuk u trashëgua rastësisht, dhe një ndryshim i mëvonshëm në një rresht nuk e ndryshon tjetrin në heshtje.

Kontrolloni çfarë do të thotë çdo çelës përpara se të kopjoni një varg

Katër çelësat nuk janë të këmbyeshëm me një varg propozimi nga një produkt tjetër. Emrat e algoritmeve varen nga implementimi, prandaj përktheni grupin e zgjedhur përmes sintaksës së dokumentuar të secilës palë, në vend që të ngjitni një propozim strongSwan në një fushë Apple.

„Përdorni numrin më të madh të grupit” nuk është metodë përzgjedhjeje. Identifikuesit e grupeve tregojnë ndërtime të ndryshme, dhe një numër më i lartë nuk do të thotë thjesht një version më i fortë i së njëjtës gjë. Lëreni pronarin e portikut të miratojë kombinimin e plotë, sepse një grup është i vlefshëm ose i pavlefshëm si tërësi. Një shifër e miratuar me një grup të pamiratuar është një propozim i pamiratuar, dhe ose do të dështojë ose do të bjerë në heshtje mbi diçka që asnjëra palë nuk e dokumentoi.

Kontrolloni kufijtë e versionit që pensionojnë algoritmet e vjetra

Skema e ngarkesës e Apple kufizon DES, 3DES, SHA1-96, SHA1-160 dhe grupet Diffie-Hellman 1, 2 dhe 5 në versionet macOS përpara 26. Një profil i sjellë nga një vendosje më e vjetër mund të përmbajë ende një nga ato vlera dhe të lidhet ende me një portik të vjetër, dhe ky është pikërisht rasti kur një konfigurim funksional fsheh një datë tërheqjeje.

Siguroni versionet Mac të mbështetura dhe politikën e propozimeve që mban portiku përpara se të ndërtoni profilin. Pastaj zgjidhni prerjen dhe regjistroni pse u përjashtuan opsionet e mbetura. Një shënim që thotë „portiku vazhdon të ofrojë grupin 2 për klientët e vjetër” vlen më shumë se një listë shifrash pa historik. Pa atë shënim, rishikuesi tjetër nuk mund të dallojë një përjashtim të qëllimshëm nga një lëshim.

Kontrolloni vërtetimin në rreshtin e vet

Marrëveshja për një propozim nuk rregullon një identitet serveri të gabuar. Identiteti i portikut, besimi te certifikata dhe kredencialet e përdoruesit ose të pajisjes janë vendime të veçanta, dhe secili mund të dështojë ndërsa algoritmet janë plotësisht të rreshtuar. Ndryshimi i algoritmit të nënshkrimit të një certifikate nuk është i njëjti veprim me zgjedhjen e algoritmit të kriptimit IKE, ndonëse të dy shfaqen në të njëjtin rishikim.

Mbani identitetin e pritur të serverit pranë propozimit në regjistër. Kur një lidhje dështon pas një ndryshimi certifikate, ai çift i thotë personit tjetër nëse lëvizi më parë negociata apo vendimi për besimin.

Vendosni një revizion dhe inspektoni çfarë u negociua

Përdorni rrjedhën e shpërndarjes të mbështetur nga organizata dhe regjistroni identifikuesin e profilit, revizionin, versionet Mac të synuara dhe politikën përkatëse të portikut. Jepuni pajisjeve që nuk mund të lidhen një rrugë rikuperimi të dokumentuar, dhe shmangni krijimin e një profili të dytë me të njëjtin emër, pronësinë e të cilit askush nuk mund ta vërtetojë.

Gjatë pranimit, inspektoni konfigurimin e instaluar dhe asociimet IKE e Child të negocuara përmes diagnostikimit të miratuar. Pastaj detyroni një rinovim të kontrolluar, sepse lidhja e parë provon vetëm se negociata fillestare funksionoi; një mospërputhje e jetëgjatësisë shfaqet zakonisht në ndryshimin e parë të çelësit, shumë kohë pasi vendosja u miratua.

Mbani grupin e pranuar bashkë me regjistrin e revizionit. Atëherë përditësimi i ardhshëm i macOS ose ndryshimi i portikut ka një vijë bazë për krahasim, në vend të një profili që sot lidhet thjesht rastësisht.