Profile ng IKEv2 sa Mac: itakda ang dalawang SA dictionary, pagkatapos subukan
Minamana ng Child SA ang mga parameter ng IKE kapag wala ang dictionary na iyon. Punan ang dalawa, isalin ang mga pangalan, at tingnan kung ano talaga ang napagkasunduan ng mga peer.
Ang matagumpay na koneksyon ay nagpapatunay lamang na nakahanap ang dalawang dulo ng isang set ng mga halaga na kanilang tinatanggap. Ang pinamamahalaang Mac IKEv2 profile ay may dalawang dictionary ng seguridad-asosasyon, ang gateway ay may sariling listahan ng panukala, at nagtatagumpay ang koneksyon sa anumang intersection na pinapayagan ng dalawang panig. Gawin ang mga pagsusuri sa ibaba nang sunod-sunod, at huminto kung saan hindi nagkakasundo ang dalawang dulo sa halip na magdagdag ng isa pang cipher upang tingnan kung makakatulong ito. Ang bawat hakbang ay nag-aalis ng ibang layer ng profile.
Suriin ang dalawang dictionary bago baguhin ang isang halaga
Sa loob ng mga setting ng IKEv2 ng VPN payload, inilalarawan ng IKESecurityAssociationParameters ang IKE association at inilalarawan ng ChildSecurityAssociationParameters ang Child SA. Sinasabi ng schema ng Apple na nalalapat din ang mga parameter ng IKE sa Child SA kapag wala ang ikalawang dictionary. Maginhawa ang mana na iyon, at ganoon din ang paraan kung paano nagtatapos ang isang profile sa mga halagang walang sinumang sadyang pinili.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Isulat ang dalawang hilera sa talaan ng deployment kahit magkatugma ang mga halaga. Makikita ng tagasuri na isinaalang-alang ang Child SA at hindi minana nang aksidente, at ang susunod na pagbabago sa isang hilera ay hindi tahimik na binabago ang isa pa.
Suriin kung ano ang ibig sabihin ng bawat key bago kopyahin ang isang string
Ang apat na key ay hindi mapagpapalit sa isang string ng panukala mula sa ibang produkto. Nakadepende sa implementasyon ang mga pangalan ng algorithm, kaya isalin ang napiling suite sa dokumentadong sintaks ng bawat panig sa halip na i-paste ang panukalang strongSwan sa isang field ng Apple.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
Ang „gamitin ang pinakamalaking numero ng grupo” ay hindi paraan ng pagpili. Ipinapahiwatig ng mga identifier ng grupo ang magkakaibang konstruksyon, at ang mas mataas na numero ay hindi lamang nangangahulugang mas malakas na bersyon ng parehong bagay. Ipaapruba sa may-ari ng gateway ang buong kombinasyon, dahil ang isang suite ay wasto o di-wasto bilang isang kabuuan. Ang inaprubahang cipher na may hindi inaprubahang grupo ay hindi inaprubahang panukala, at ito ay mabibigo o tahimik na babalik sa isang bagay na walang panig na naidokumento.
Suriin ang mga limitasyon ng bersyon na nagreretiro sa lumang algorithm
Nililimitahan ng schema ng payload ng Apple ang DES, 3DES, SHA1-96, SHA1-160 at mga grupo ng Diffie-Hellman 1, 2 at 5 sa mga bersyon ng macOS bago ang 26. Ang profile na inilipat mula sa mas lumang deployment ay maaaring mayroon pa rin ng isa sa mga halagang iyon at makakonekta pa rin sa lumang gateway, at ito mismo ang kaso kung saan itinatago ng gumaganang configuration ang petsa ng pagreretiro.
Kunin ang mga sinusuportahang bersyon ng Mac at ang patakaran ng panukalang pinapanatili ng gateway bago buuin ang profile. Pagkatapos piliin ang intersection at itala kung bakit ibinukod ang mga natitirang opsyon. Ang isang tala na nagsasabing „nag-aalok pa rin ang gateway ng grupo 2 para sa mga lumang client” ay mas mahalaga kaysa sa listahan ng cipher na walang kasaysayan. Kung wala ang talang iyon, hindi matutukoy ng susunod na tagasuri ang sinadyang pagbubukod mula sa kapabayaan.
Suriin ang authentication sa sarili nitong linya
Ang kasunduan sa isang panukala ay hindi nag-aayos ng maling pagkakakilanlan ng server. Ang pagkakakilanlan ng gateway, pagtitiwala sa certificate at mga kredensyal ng user o device ay magkakahiwalay na desisyon, at bawat isa ay maaaring mabigo habang perpektong nakahanay ang mga algorithm. Ang pagpapalit ng algorithm ng lagda ng isang certificate ay hindi kaparehong gawain ng pagpili ng algorithm ng encryption ng IKE, kahit pareho silang lumilitaw sa isang review.
Itago ang inaasahang pagkakakilanlan ng server sa tabi ng panukala sa talaan. Kapag nabigo ang koneksyon pagkatapos ng pagbabago ng certificate, sinasabi ng pares na iyon sa susunod na tao kung ang negosasyon o ang desisyon sa pagtitiwala ang nauna.
I-deploy ang isang revision at siyasatin kung ano ang napagkasunduan
Gamitin ang sinusuportahang workflow ng distribution ng organisasyon at itala ang identifier ng profile, ang revision, ang mga target na bersyon ng Mac at ang tugmang patakaran ng gateway. Bigyan ng dokumentadong landas ng pagbawi ang mga device na hindi makakonekta, at iwasan ang paggawa ng pangalawang profile na may parehong pangalan na walang makapagtatag ng pagmamay-ari.
Sa panahon ng pagtanggap, siyasatin ang naka-install na configuration at ang napagkasunduang IKE at Child association sa pamamagitan ng inaprubahang diagnostics. Pagkatapos pilitin ang kontroladong pag-renew, dahil ang unang koneksyon ay nagpapatunay lamang na gumana ang paunang negosasyon; ang hindi pagkakatugma ng habang-buhay ay karaniwang lumilitaw sa unang pagpapalit ng key, matagal pagkatapos maaprubahan ang deployment.
Itago ang tinanggap na suite kasama ng talaan ng revision. Sa gayon ang susunod na update ng macOS o pagbabago ng gateway ay may baseline na maihahambing sa halip na isang profile na nagkataong kumokonekta lang ngayon.