Mac IKEv2 profili: iki SA sözlüğünü de ayarlayın, sonra test edin

Başarılı bir bağlantı yalnızca iki ucun da kabul ettiği bir değerler kümesi bulduğunu kanıtlar. Yönetilen bir Mac IKEv2 profili iki güvenlik ilişkisi sözlüğü taşır, ağ geçidinin kendi öneri listesi vardır ve bağlantı iki tarafın da izin verdiği herhangi bir kesişimde kurulur. Aşağıdaki kontrolleri sırayla yapın ve işe yarayıp yaramadığını görmek için başka bir şifre eklemek yerine iki ucun ayrıştığı yerde durun. Her adım profilin farklı bir katmanını dışlar.

Bir değeri düzenlemeden önce iki sözlüğü de kontrol edin

VPN yükünün IKEv2 ayarlarında IKESecurityAssociationParameters IKE ilişkisini, ChildSecurityAssociationParameters ise Child SA'yı tanımlar. Apple şeması, ikinci sözlük yokken IKE parametrelerinin Child SA için de geçerli olduğunu belirtir. Bu devralma kullanışlıdır ve bir profilin kimsenin bilinçli olarak seçmediği değerlerle kalması tam olarak böyle olur.

<key>IKESecurityAssociationParameters</key>
<dict>
  <key>EncryptionAlgorithm</key><string>AES-256</string>
  <key>IntegrityAlgorithm</key><string>SHA-256</string>
  <key>DiffieHellmanGroup</key><integer>14</integer>
  <key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>

Değerler aynı olsa bile iki satırı da dağıtım kaydına yazın. Böylece bir gözden geçiren, Child SA'nın kazara devralınmadığını, dikkate alındığını görebilir ve bir satırdaki sonraki değişiklik diğerini sessizce değiştirmez.

Bir dizeyi kopyalamadan önce her anahtarın ne anlama geldiğini kontrol edin

Dört anahtar başka bir ürünün öneri dizesiyle birbirinin yerine kullanılamaz. Algoritma adları uygulamaya özgüdür, bu yüzden seçilen kümesini Apple alanına strongSwan önerisi yapıştırmak yerine her tarafın belgelenmiş sözdizimiyle çevirin.

„En büyük grup numarasını kullanın” bir seçim yöntemi değildir. Grup tanımlayıcıları farklı yapıları adlandırır ve daha yüksek bir numara basitçe aynı şeyin daha güçlü sürümü anlamına gelmez. Ağ geçidinin sahibine tam kombinasyonu onaylatın, çünkü bir küme bir bütün olarak geçerli ya da geçersizdir. Onaylanmış bir şifrenin onaylanmamış bir grupla birlikte olması onaylanmamış bir öneridir ve bu ya başarısız olur ya da hiçbir tarafın belgelemediği bir şeye sessizce geri döner.

Eski algoritmaları emekliye ayıran sürüm sınırlarını kontrol edin

Apple yük şeması DES, 3DES, SHA1-96, SHA1-160 ve Diffie-Hellman 1, 2 ve 5 gruplarını 26 öncesi macOS sürümleriyle sınırlar. Daha eski bir dağıtımdan aktarılan bir profil hâlâ bu değerlerden birini içerebilir ve hâlâ eski bir ağ geçidine bağlanabilir; çalışan bir yapılandırmanın kullanımdan kaldırma tarihini gizlediği durum tam olarak budur.

Profili oluşturmadan önce desteklenen Mac sürümlerini ve ağ geçidinin sürdürdüğü öneri ilkesini edinin. Ardından kesişimi seçin ve kalan seçeneklerin neden dışlandığını kaydedin. „Ağ geçidi eski istemciler için hâlâ grup 2 sunuyor” diyen bir not, geçmişi olmayan bir şifre listesinden daha değerlidir. Bu not olmadan bir sonraki gözden geçiren, kasıtlı bir istisnayı bir gözden kaçırmadan ayıramaz.

Kimlik doğrulamayı kendi satırında kontrol edin

Bir öneri üzerinde anlaşmak, yanlış sunucu kimliğini düzeltmez. Ağ geçidi kimliği, sertifikaya duyulan güven ve kullanıcı veya cihaz kimlik bilgileri ayrı kararlardır ve algoritmalar tam olarak hizalı olsa bile her biri başarısız olabilir. Bir sertifikanın imza algoritmasını değiştirmek, IKE şifreleme algoritmasını seçmekle aynı eylem değildir, her ikisi de aynı incelemede görünse bile.

Beklenen sunucu kimliğini kayıtta önerinin yanında tutun. Sertifika değişikliğinden sonra bağlantı başarısız olursa, bu eşleme bir sonraki kişiye önce müzakere mi yoksa güven kararı mı hareket ettiğini söyler.

Tek bir revizyon dağıtın ve neyin müzakere edildiğini inceleyin

Kuruluşun desteklediği dağıtım iş akışını kullanın ve profil tanımlayıcısını, revizyonu, hedef Mac sürümlerini ve eşleşen ağ geçidi ilkesini kaydedin. Bağlanamayan cihazlara belgelenmiş bir kurtarma yolu verin ve sahipliğini kimsenin belirleyemediği aynı adlı ikinci bir profil oluşturmaktan kaçının.

Kabul sırasında, onaylı tanılama araçlarıyla kurulu yapılandırmayı ve müzakere edilen IKE ve Child ilişkilerini inceleyin. Ardından kontrollü bir yenilemeyi zorlayın, çünkü ilk bağlantı yalnızca ilk müzakerenin çalıştığını kanıtlar; ömür uyuşmazlığı genellikle ilk anahtar değişiminde, dağıtım onaylandıktan çok sonra ortaya çıkar.

Kabul edilen kümeyi revizyon kaydıyla birlikte saklayın. Böylece bir sonraki macOS güncellemesi veya ağ geçidi değişikliği, bugün yalnızca tesadüfen bağlanan bir profil yerine karşılaştırma için bir temel çizgiye sahip olur.