Mac IKEv2-profil: ange båda SA-ordböckerna och testa sedan

En lyckad anslutning bevisar bara att båda ändarna hittade en uppsättning värden som de accepterar. En hanterad Mac IKEv2-profil innehåller två säkerhetsassociationsordböcker, gatewayen har sin egen förslagslista och anslutningen lyckas på varje snitt som båda sidorna tillåter. Utför kontrollerna nedan i ordning och stanna där de två ändarna är oense i stället för att lägga till ännu ett chiffer för att se om det hjälper. Varje steg utesluter ett annat lager av profilen.

Kontrollera båda ordböckerna innan du redigerar ett värde

Inuti VPN-nyttolastens IKEv2-inställningar beskriver IKESecurityAssociationParameters IKE-associationen och ChildSecurityAssociationParameters beskriver Child SA. Apples schema anger att IKE-parametrarna även gäller för Child SA när den andra ordboken saknas. Det arvet är praktiskt, och det är just så en profil hamnar med värden som ingen medvetet har valt.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Skriv in båda raderna i distributionsposten även när värdena stämmer. Då kan en granskare se att Child SA övervägdes och inte ärvdes av misstag, och en senare ändring i en rad ändrar inte den andra i tysthet.

Kontrollera vad varje nyckel betyder innan du kopierar en sträng

De fyra nycklarna kan inte bytas ut mot en förslagssträng från en annan produkt. Algoritmnamnen beror på implementationen, så översätt den valda sviten via varje sidas dokumenterade syntax i stället för att klistra in ett strongSwan-förslag i ett Apple-fält.

”Använd det högsta gruppnumret” är ingen urvalsmetod. Gruppidentifierare betecknar olika konstruktioner, och ett högre nummer betyder inte bara en starkare version av samma sak. Låt gatewayens ägare godkänna hela kombinationen, eftersom en svit är giltig eller ogiltig som helhet. Ett godkänt chiffer med en icke godkänd grupp är ett icke godkänt förslag, och det kommer antingen att misslyckas eller tyst falla tillbaka på något som ingen av sidorna har dokumenterat.

Kontrollera versionsgränserna som pensionerar gamla algoritmer

Apples nyttolastschema begränsar DES, 3DES, SHA1-96, SHA1-160 och Diffie-Hellman-grupperna 1, 2 och 5 till macOS-versioner före 26. En profil som förts över från en äldre distribution kan fortfarande innehålla ett av dessa värden och fortfarande ansluta till en gammal gateway, och det är just fallet där en fungerande konfiguration döljer ett avvecklingsdatum.

Skaffa de Mac-versioner som stöds och den förslagspolicy som gatewayen underhåller innan du bygger profilen. Välj sedan snittet och dokumentera varför de återstående alternativen uteslöts. En anteckning om att ”gatewayen erbjuder fortfarande grupp 2 för äldre klienter” är värd mer än en chifferlista utan historik. Utan den anteckningen kan nästa granskare inte skilja ett medvetet undantag från en förbiseende.

Kontrollera autentiseringen på en egen rad

Enighet om ett förslag reparerar inte en felaktig serveridentitet. Gatewayidentitet, certifikattillit och användarens eller enhetens inloggningsuppgifter är separata beslut, och var och en kan misslyckas medan algoritmerna är perfekt samstämda. Att ändra ett certifikats signaturalgoritm är inte samma handling som att välja IKE-krypteringsalgoritmen, även om båda förekommer i samma granskning.

Håll den förväntade serveridentiteten bredvid förslaget i posten. När en anslutning misslyckas efter ett certifikatbyte berättar det paret för nästa person om det var förhandlingen eller tillitsbeslutet som rörde sig först.

Rulla ut en revision och granska vad som förhandlades

Använd organisationens stödda distributionsarbetsflöde och registrera profilidentifieraren, revisionen, mål-Mac-versionerna och den matchande gateway-policyn. Ge enheter som inte kan ansluta en dokumenterad återställningsväg, och undvik att skapa en andra profil med samma namn som ingen kan fastställa ägarskapet för.

Under godkännandet, granska den installerade konfigurationen och de förhandlade IKE- och Child-associationerna via godkänd diagnostik. Tvinga sedan en kontrollerad förnyelse, eftersom den första anslutningen bara bevisar att den inledande förhandlingen fungerade; en livstidsavvikelse visar sig vanligtvis vid första nyckelbytet, långt efter att distributionen godkänts.

Håll den accepterade sviten tillsammans med revisionsposten. Då har nästa macOS-uppdatering eller gatewayändring en baslinje att jämföra med i stället för en profil som bara råkar ansluta idag.