Wasifu wa IKEv2 wa Mac: weka kamusi zote mbili za SA, kisha jaribu

Muunganisho uliofanikiwa unathibitisha tu kwamba pande zote mbili zimepata seti ya thamani wanazokubali. Wasifu unaosimamiwa wa IKEv2 wa Mac hubeba kamusi mbili za muungano wa usalama, lango lina orodha yake ya mapendekezo, na muunganisho hufanikiwa kwenye makutano yoyote ambayo pande zote mbili huruhusu. Fanya ukaguzi ulio hapa chini kwa mpangilio, na simama pale pande mbili zinapotofautiana badala ya kuongeza sifa nyingine ya usimbaji ili kuona kama inasaidia. Kila hatua huondoa tabaka tofauti la wasifu.

Kagua kamusi zote mbili kabla ya kuhariri thamani

Ndani ya mipangilio ya IKEv2 ya mzigo wa VPN, IKESecurityAssociationParameters hufafanua muungano wa IKE na ChildSecurityAssociationParameters hufafanua Child SA. Mpango wa Apple unasema kwamba vigezo vya IKE pia hutumika kwa Child SA wakati kamusi ya pili haipo. Urithi huo ni rahisi, na ndivyo wasifu huishia na thamani ambazo hakuna mtu alizochagua kwa ufahamu.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Andika safu zote mbili kwenye rekodi ya uenezaji hata thamani zinapolingana. Wakati huo mkaguzi anaweza kuona kwamba Child SA ilizingatiwa na haikuurithiwa kwa bahati, na mabadiliko ya baadaye kwenye safu moja hayabadilishi nyingine kwa utulivu.

Kagua maana ya kila ufunguo kabla ya kunakili mfuatano

Funguo nne hazibadilishani na mfuatano wa pendekezo kutoka bidhaa nyingine. Majina ya algoriti hutegemea utekelezaji, kwa hivyo tafsiri seti iliyochaguliwa kupitia sintaksia iliyoandikwa ya kila upande badala ya kubandika pendekezo la strongSwan kwenye uwanja wa Apple.

«Tumia nambari kubwa zaidi ya kikundi» si njia ya uchaguzi. Vitambulisho vya kikundi hutaja miundo tofauti, na nambari kubwa zaidi haimaanishi tu toleo lenye nguvu zaidi la kitu kimoja. Mwombe mmiliki wa lango aidhinishe mchanganyiko kamili, kwa sababu seti ni halali au si halali kwa ujumla. Sifa ya usimbaji iliyoidhinishwa na kikundi kisichoidhinishwa ni pendekezo lisiloidhinishwa, na ama itashindwa au itarudi kwa utulivu kwenye kitu ambacho hakuna upande uliandika.

Kagua mipaka ya toleo inayostaafisha algoriti za zamani

Mpango wa mzigo wa Apple huzuia DES, 3DES, SHA1-96, SHA1-160 na vikundi vya Diffie-Hellman 1, 2 na 5 kwa matoleo ya macOS kabla ya 26. Wasifu uliohamishwa kutoka uenezaji wa zamani unaweza bado kuwa na moja ya thamani hizo na bado kuunganishwa na lango la zamani, na hiyo ndiyo hali ambayo usanidi unaofanya kazi huficha tarehe ya kustaafu.

Pata matoleo ya Mac yanayotumika na sera ya mapendekezo inayodumishwa na lango kabla ya kujenga wasifu. Kisha chagua makutano na uandike kwa nini chaguo zilizobaki zilitengwa. Kidokezo kinachosema «lango bado linatoa kikundi 2 kwa wateja wa zamani» kina thamani zaidi kuliko orodha ya sifa za usimbaji bila historia. Bila kidokezo hicho, mkaguzi anayefuata hawezi kutofautisha ubaguzi wa makusudi na upungufu.

Kagua uthibitishaji kwenye mstari wake

Makubaliano juu ya pendekezo hayatengenezi utambulisho wa seva usio sahihi. Utambulisho wa lango, imani kwa cheti na vitambulisho vya mtumiaji au kifaa ni maamuzi tofauti, na kila moja inaweza kushindwa wakati algoriti zimeoanishwa kikamilifu. Kubadilisha algoriti ya sahihi ya cheti si kitendo kimoja na kuchagua algoriti ya usimbaji wa IKE, ingawa zote zinaonekana katika ukaguzi mmoja.

Weka utambulisho wa seva unaotarajiwa karibu na pendekezo kwenye rekodi. Muunganisho unaposhindwa baada ya mabadiliko ya cheti, jozi hiyo humwambia mtu anayefuata kama mazungumzo au uamuzi wa imani ulisogea kwanza.

Sambaza marekebisho moja na ukague kile kilichojadiliwa

Tumia mtiririko wa usambazaji unaoungwa mkono na shirika na urekodi kitambulisho cha wasifu, marekebisho, matoleo lengwa ya Mac na sera ya lango inayolingana. Wape vifaa visivyoweza kuunganishwa njia ya urejeshaji iliyoandikwa, na epuka kuunda wasifu wa pili wenye jina moja ambao hakuna mtu anayeweza kuthibitisha umiliki wake.

Wakati wa kukubalika, kagua usanidi uliosakinishwa na miungano ya IKE na Child iliyojadiliwa kupitia uchunguzi ulioidhinishwa. Kisha lazimisha uhuishaji unaodhibitiwa, kwa sababu muunganisho wa kwanza unathibitisha tu kwamba mazungumzo ya awali yalifanya kazi; kutokubaliana kwa maisha kwa kawaida huonekana kwenye ubadilishaji wa kwanza wa ufunguo, muda mrefu baada ya uenezaji kuidhinishwa.

Weka seti iliyokubaliwa pamoja na rekodi ya marekebisho. Wakati huo sasisho la macOS linalofuata au mabadiliko ya lango yatakuwa na msingi wa kulinganisha badala ya wasifu unaounganishwa tu kwa bahati leo.