Mac IKEv2 профил: подесите оба SA речника, затим тестирајте

IKE параметре наслеђује Child SA када тај речник недостаје. Попуните оба, преведите називе и проверите шта су стране заиста договориле.

Успешно повезивање доказује само да су обе стране нашле скуп вредности које прихватају. Управљани Mac IKEv2 профил носи два речника безбедносне асоцијације, гејтвеј има своју листу предлога, а веза успева на оном пресеку који обе стране дозволе. Изведите провере испод редом и зауставите се тамо где се две стране не слажу, уместо да додајете још једну шифру да видите да ли помаже. Сваки корак искључује други слој профила.

Проверите оба речника пре него што уредите вредност

Унутар IKEv2 подешавања VPN payload-а, IKESecurityAssociationParameters описује IKE асоцијацију, а ChildSecurityAssociationParameters описује Child SA. Apple шема наводи да се IKE параметри примењују и на Child SA када други речник недостаје. То наслеђивање је згодно, и управо тако профил заврши са вредностима које нико није свесно одабрао.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Упишите оба реда у запис о имплементацији чак и када се вредности поклапају. Рецензент тада може видети да је Child SA размотрен, а не случајно наслеђен, и каснија измена једног реда не мења тихо други.

Проверите шта сваки кључ значи пре него што копирате стринг

Четири кључа нису заменљива са стрингом предлога из другог производа. Називи алгоритма зависе од имплементације, зато преведите одабрани скуп кроз документовану синтаксу сваке стране, уместо да залепите strongSwan предлог у Apple поље.

KeyHoldsCommon mistake
EncryptionAlgorithmCipher for that associationAssuming an AEAD name also sets integrity
IntegrityAlgorithmIntegrity for the chosen suiteLeaving it set for an AEAD suite that does not use one
DiffieHellmanGroupNumeric group identifierReading the number as key size in bits
LifeTimeInMinutesAssociation lifetimeSetting it shorter than the gateway's renewal margin

„Користите највећи број групе” није метода одабира. Идентификатори група означавају различите конструкције, и већи број не значи једноставно јачу верзију исте ствари. Нека власник гејтвеја одобри комплетну комбинацију, јер је скуп као целина важећи или неважећи. Одобрена шифра са неодобреном групом је неодобрен предлог, и он ће или пасти или се тихо вратити на нешто што ниједна страна није документовала.

Проверите ограничења верзија која пензионишу старе алгоритме

Apple шема payload-а ограничава DES, 3DES, SHA1-96, SHA1-160 и Diffie-Hellman групе 1, 2 и 5 на macOS верзије пре 26. Профил пренесен из старије имплементације може још садржати једну од тих вредности и још се повезивати са старим гејтвејем, а то је управо случај у којем радна конфигурација крије датум укидања.

Набавите подржане Mac верзије и политику предлога коју гејтвеј одржава пре него што изградите профил. Затим одаберите пресек и забележите зашто су преостале опције искључене. Напомена „гејтвеј још нуди групу 2 за старе клијенте” вреди више од листе шифри без историје. Без те напомене следећи рецензент не може разликовати намерни изузетак од пропуста.

Проверите аутентификацију на засебном реду

Споразум о предлогу не поправља погрешан идентитет сервера. Идентитет гејтвеја, поверење у сертификат и креденцијали корисника или уређаја су одвојене одлуке, и свака може пасти док су алгоритми савршено усклађени. Мењање алгоритма потписа сертификата није исти чин као одабир IKE алгоритма шифровања, иако се оба појављују у истом прегледу.

Држите очекивани идентитет сервера поред предлога у запису. Када веза падне након промене сертификата, тај пар говори следећој особи да ли се прво померило преговарање или одлука о поверењу.

Имплементирајте једну ревизију и прегледајте шта је договорено

Користите подржани процес дистрибуције организације и забележите идентификатор профила, ревизију, циљне Mac верзије и одговарајућу гејтвеј политику. Дајте уређајима који не могу да се повежу документован пут опоравка и избегавајте стварање другог профила са истим именом чије власништво нико не може утврдити.

Током прихватања прегледајте инсталирану конфигурацију и договорене IKE и Child асоцијације кроз одобрену дијагностику. Затим форсирајте контролисано обнављање, јер прва веза доказује само да је почетно преговарање радило; неусклађеност животног века обично се појави при првој замени кључева, дуго након што је имплементација одобрена.

Држите прихваћени скуп уз запис о ревизији. Следеће macOS ажурирање или промена гејтвеја тада има основу за поређење уместо профила који се данас само случајно повезује.

Повезани чланци