โปรไฟล์ IKEv2 บน Mac: ตั้งค่าพจนานุกรม SA ทั้งสอง แล้วทดสอบ
พารามิเตอร์ IKE จะสืบทอดโดย Child SA เมื่อพจนานุกรมนั้นหายไป กรอกทั้งสอง แปลชื่อ และตรวจสอบว่าคู่สัญญาเจรจากันจริงว่าอย่างไร
การเชื่อมต่อสำเร็จพิสูจน์เพียงว่าทั้งสองฝ่ายพบชุดค่าที่ยอมรับได้ โปรไฟล์ IKEv2 บน Mac ที่จัดการอยู่มีพจนานุกรมสมาคมความปลอดภัยสองเล่ม เกตเวย์มีรายการข้อเสนอของตัวเอง และการเชื่อมต่อสำเร็จบนจุดตัดใดก็ตามที่ทั้งสองฝ่ายอนุญาต ทำการตรวจสอบด้านล่างตามลำดับ และหยุดตรงจุดที่ทั้งสองฝ่ายไม่ตรงกัน แทนที่จะเพิ่มรหัสลับอีกตัวเพื่อดูว่าจะช่วยได้หรือไม่ แต่ละขั้นตอนตัดชั้นต่าง ๆ ของโปรไฟล์ออก
ตรวจสอบพจนานุกรมทั้งสองก่อนแก้ไขค่า
ภายในตั้งค่า IKEv2 ของเพย์โหลด VPN IKESecurityAssociationParameters อธิบายสมาคม IKE และ ChildSecurityAssociationParameters อธิบาย Child SA สคีมาของ Apple ระบุว่าพารามิเตอร์ IKE ใช้กับ Child SA ด้วยเมื่อพจนานุกรมที่สองหายไป การสืบทอดนั้นสะดวก และนั่นคือวิธีที่โปรไฟล์ลงเอยด้วยค่าที่ไม่มีใครเลือกอย่างรู้ตัว
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>เขียนทั้งสองแถวลงในบันทึกการปรับใช้แม้ค่าจะตรงกัน ผู้ตรวจสอบจะเห็นว่า Child SA ถูกพิจารณาไม่ใช่สืบทอดมาโดยบังเอิญ และการเปลี่ยนแปลงภายหลังในแถวหนึ่งจะไม่เปลี่ยนอีกแถวอย่างเงียบ ๆ
ตรวจสอบความหมายของแต่ละคีย์ก่อนคัดลอกสตริง
คีย์ทั้งสี่ใช้แทนกันไม่ได้กับสตริงข้อเสนอจากผลิตภัณฑ์อื่น ชื่ออัลกอริทึมขึ้นอยู่กับการนำไปใช้ ดังนั้นจงแปลชุดที่เลือกผ่านไวยากรณ์ที่มีเอกสารของแต่ละฝ่ายแทนการวางข้อเสนอ strongSwan ลงในฟิลด์ของ Apple
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«ใช้หมายเลขกลุ่มที่ใหญ่ที่สุด» ไม่ใช่วิธีเลือก ตัวระบุกลุ่มแสดงถึงโครงสร้างที่ต่างกัน และหมายเลขที่สูงกว่าไม่ได้หมายถึงเวอร์ชันที่แข็งแกร่งกว่าของสิ่งเดียวกันเสมอไป ให้เจ้าของเกตเวย์อนุมัติชุดค่าผสมทั้งหมด เพราะชุดหนึ่งใช้ได้หรือใช้ไม่ได้โดยรวม รหัสลับที่อนุมัติแล้วกับกลุ่มที่ยังไม่อนุมัติถือเป็นข้อเสนอที่ยังไม่อนุมัติ และจะล้มเหลวหรือถอยกลับไปใช้สิ่งที่ไม่มีฝ่ายใดบันทึกไว้อย่างเงียบ ๆ
ตรวจสอบขีดจำกัดเวอร์ชันที่ปลดระวางอัลกอริทึมเก่า
สคีมาเพย์โหลดของ Apple จำกัด DES, 3DES, SHA1-96, SHA1-160 และกลุ่ม Diffie-Hellman 1, 2 และ 5 ไว้ที่ macOS เวอร์ชันก่อน 26 โปรไฟล์ที่ยกมาจากการปรับใช้เก่าอาจยังมีค่าใดค่าหนึ่งเหล่านี้และยังเชื่อมต่อกับเกตเวย์เก่าได้ และนั่นคือกรณีที่การกำหนดค่าที่ใช้งานได้ซ่อนวันปลดระวางไว้
ขอรับเวอร์ชัน Mac ที่รองรับและนโยบายข้อเสนอที่เกตเวย์ดูแลก่อนสร้างโปรไฟล์ จากนั้นเลือกจุดตัดและบันทึกว่าเหตุใดตัวเลือกที่เหลือจึงถูกตัดออก หมายเหตุที่ว่า «เกตเวย์ยังเสนอกลุ่ม 2 สำหรับไคลเอนต์เก่า» มีค่ามากกว่ารายการรหัสลับที่ไม่มีประวัติ หากไม่มีหมายเหตุนั้น ผู้ตรวจสอบคนต่อไปจะแยกข้อยกเว้นที่ตั้งใจออกจากความหละหลวมไม่ได้
ตรวจสอบการพิสูจน์ตัวตนในบรรทัดของตัวเอง
ข้อตกลงเกี่ยวกับข้อเสนอไม่ได้แก้ไขข้อมูลระบุตัวตนเซิร์ฟเวอร์ที่ผิด ข้อมูลระบุตัวตนเกตเวย์ ความเชื่อถือในใบรับรอง และข้อมูลรับรองของผู้ใช้หรืออุปกรณ์เป็นการตัดสินใจแยกกัน และแต่ละอย่างล้มเหลวได้ในขณะที่อัลกอริทึมตรงกันอย่างสมบูรณ์ การเปลี่ยนอัลกอริทึมลายเซ็นของใบรับรองไม่ใช่การกระทำเดียวกับการเลือกอัลกอริทึมเข้ารหัสของ IKE แม้ว่าทั้งสองจะปรากฏในการตรวจทานเดียวกัน
เก็บข้อมูลระบุตัวตนเซิร์ฟเวอร์ที่คาดไว้ไว้ข้างข้อเสนอในบันทึก เมื่อการเชื่อมต่อล้มเหลวหลังการเปลี่ยนใบรับรอง คู่นั้นจะบอกคนถัดไปว่าการเจรจาหรือการตัดสินใจเรื่องความเชื่อถือขยับก่อน
ปรับใช้หนึ่ง revision และตรวจสอบว่ามีการเจรจาอะไร
ใช้เวิร์กโฟลว์การเผยแพร่ที่องค์กรรองรับและบันทึกตัวระบุโปรไฟล์ revision เวอร์ชัน Mac เป้าหมาย และนโยบายเกตเวย์ที่ตรงกัน ให้เส้นทางการกู้คืนที่บันทึกไว้กับอุปกรณ์ที่ไม่สามารถเชื่อมต่อได้ และหลีกเลี่ยงการสร้างโปรไฟล์ที่สองชื่อเดียวกันซึ่งไม่มีใครยืนยันความเป็นเจ้าของได้
ระหว่างการยอมรับ ให้ตรวจสอบการกำหนดค่าที่ติดตั้งและสมาคม IKE และ Child ที่เจรจาแล้วผ่านการวินิจฉัยที่อนุมัติ จากนั้นบังคับการต่ออายุที่มีการควบคุม เพราะการเชื่อมต่อแรกพิสูจน์เพียงว่าการเจรจาเริ่มต้นทำงาน ความไม่ตรงกันของอายุการใช้งานมักปรากฏในการเปลี่ยนคีย์ครั้งแรก นานหลังจากที่การปรับใช้ได้รับการอนุมัติ
เก็บชุดที่ยอมรับไว้กับบันทึก revision การอัปเดต macOS หรือการเปลี่ยนแปลงเกตเวย์ครั้งถัดไปจะมีเส้นฐานให้เปรียบเทียบ แทนที่จะเป็นโปรไฟล์ที่บังเอิญเชื่อมต่อได้ในวันนี้เท่านั้น