Mac IKEv2 پروفائل: دونوں SA لغات سیٹ کریں، پھر جانچ کریں
جب وہ لغت موجود نہ ہو تو IKE پیرامیٹرز Child SA کے ذریعے وراثت میں ملتے ہیں۔ دونوں بھریں، ناموں کا ترجمہ کریں اور دیکھیں کہ فریقین نے حقیقت میں کیا طے کیا۔
کامیاب کنکشن صرف یہ ثابت کرتا ہے کہ دونوں سروں نے اقدار کا ایسا مجموعہ ڈھونڈ لیا ہے جو وہ قبول کرتے ہیں۔ منظم Mac IKEv2 پروفائل میں سیکیورٹی-انجمن کی دو لغات ہوتی ہیں، گیٹ وے کی اپنی تجاویز کی فہرست ہوتی ہے، اور کنکشن کسی بھی ایسے تقاطع پر کامیاب ہوتا ہے جس کی دونوں فریق اجازت دیں۔ نیچے دی گئی جانچیں ترتیب سے کریں، اور ایک اور سائفر شامل کر کے یہ دیکھنے کے بجائے کہ اس سے مدد ملتی ہے یا نہیں، وہیں رکیں جہاں دونوں سرے متفق نہ ہوں۔ ہر مرحلہ پروفائل کی ایک مختلف تہہ خارج کرتا ہے۔
کسی قدر میں ترمیم سے پہلے دونوں لغات جانچیں
VPN پے لوڈ کی IKEv2 ترتیبات میں، IKESecurityAssociationParameters IKE انجمن بیان کرتا ہے اور ChildSecurityAssociationParameters Child SA بیان کرتا ہے۔ Apple کی اسکیما کہتی ہے کہ جب دوسری لغت موجود نہ ہو تو IKE پیرامیٹرز Child SA پر بھی لاگو ہوتے ہیں۔ یہ وراثت سہولت بخش ہے، اور اسی طرح پروفائل میں ایسی اقدار رہ جاتی ہیں جنہیں کسی نے شعوری طور پر منتخب نہیں کیا۔
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>اقدار کے مطابق ہونے پر بھی دونوں قطاریں تعیناتی ریکارڈ میں لکھیں۔ پھر جائزہ لینے والا دیکھ سکتا ہے کہ Child SA کو تصادفی طور پر وراثت میں نہیں ملا بلکہ غور کیا گیا، اور ایک قطار میں بعد کی تبدیلی دوسری کو خاموشی سے نہیں بدلتی۔
سٹرنگ نقل کرنے سے پہلے ہر کلید کا مطلب جانچیں
چاروں کلیدیں کسی دوسری مصنوعات کے تجویز کردہ سٹرنگ کے ساتھ قابل تبادلہ نہیں ہیں۔ الگورتھم کے نام نفاذ پر منحصر ہیں، اس لیے منتخب کردہ سیٹ کا ترجمہ ہر فریق کے دستاویزی نحو کے ذریعے کریں بجائے اس کے کہ strongSwan کی تجویز Apple کے فیلڈ میں چسپاں کریں۔
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«سب سے بڑا گروپ نمبر استعمال کریں» انتخاب کا طریقہ نہیں ہے۔ گروپ شناخت کنندگان مختلف ساختوں کی نشاندہی کرتے ہیں، اور بڑا نمبر محض اسی چیز کا زیادہ مضبوط نسخہ نہیں ہے۔ گیٹ وے کے مالک سے پورا امتزاج منظور کرائیں، کیونکہ کوئی سیٹ مجموعی طور پر درست یا غلط ہوتا ہے۔ ناپسندیدہ گروپ کے ساتھ منظور شدہ سائفر نامنظور شدہ تجویز ہے، اور وہ یا تو ناکام ہوگا یا خاموشی سے کسی ایسی چیز پر واپس چلا جائے گا جسے کسی فریق نے دستاویز نہیں کیا۔
پرانے الگورتھم کو ریٹائر کرنے والی ورژن حدود جانچیں
Apple کے پے لوڈ اسکیما نے DES، 3DES، SHA1-96، SHA1-160 اور Diffie-Hellman گروپ 1، 2 اور 5 کو 26 سے پہلے کے macOS ورژنوں تک محدود کیا ہے۔ پرانی تعیناتی سے لایا گیا پروفائل اب بھی ان اقدار میں سے ایک رکھ سکتا ہے اور اب بھی پرانے گیٹ وے سے جڑ سکتا ہے، اور یہی وہ صورت ہے جس میں فعال ترتیب ریٹائرمنٹ کی تاریخ چھپا دیتی ہے۔
پروفائل بنانے سے پہلے معاون Mac ورژن اور گیٹ وے کی برقرار رکھی گئی تجویز پالیسی حاصل کریں۔ پھر تقاطع منتخب کریں اور لکھیں کہ باقی اختیارات کیوں خارج کیے گئے۔ «گیٹ وے اب بھی پرانے کلائنٹس کو گروپ 2 پیش کرتا ہے» والا نوٹ تاریخ کے بغیر سائفر فہرست سے زیادہ قیمتی ہے۔ اس نوٹ کے بغیر اگلا جائزہ لینے والا جان بوجھ کر کی گئی استثنا اور کوتاہی میں فرق نہیں کر سکتا۔
تصدیق کو اس کی اپنی قطار میں جانچیں
کسی تجویز پر اتفاق غلط سرور شناخت کو درست نہیں کرتا۔ گیٹ وے کی شناخت، سرٹیفکیٹ پر اعتماد اور صارف یا ڈیوائس کی اسناد الگ فیصلے ہیں، اور الگورتھم مکمل طور پر ہم آہنگ ہونے پر بھی ہر ایک ناکام ہو سکتا ہے۔ سرٹیفکیٹ کا دستخطی الگورتھم بدلنا IKE انکرپشن الگورتھم منتخب کرنے کے مترادف عمل نہیں، اگرچہ دونوں ایک ہی جائزے میں نظر آتے ہیں۔
متوقع سرور شناخت کو ریکارڈ میں تجویز کے ساتھ رکھیں۔ سرٹیفکیٹ تبدیلی کے بعد جب کنکشن ناکام ہو تو وہ جوڑا اگلے شخص کو بتاتا ہے کہ پہلے مذاکرات حرکت میں آئے یا اعتماد کا فیصلہ۔
ایک نظرثانی تعینات کریں اور دیکھیں کہ کیا طے ہوا
ادارے کے معاون تقسیم کاری ورک فلو کا استعمال کریں اور پروفائل شناخت کنندہ، نظرثانی، ہدف Mac ورژن اور مطابق گیٹ وے پالیسی درج کریں۔ جو ڈیوائسز جڑ نہیں سکتیں انہیں دستاویزی بحالی راستہ دیں، اور ایسا دوسرا پروفائل بنانے سے بچیں جس کی ملکیت کوئی قائم نہ کر سکے۔
قبولیت کے دوران، منظور شدہ تشخیص کے ذریعے نصب شدہ ترتیب اور طے شدہ IKE اور Child انجمنوں کا معائنہ کریں۔ پھر قابو شدہ تجدید پر مجبور کریں، کیونکہ پہلا کنکشن صرف یہ ثابت کرتا ہے کہ ابتدائی مذاکرات کام کر گئے؛ عمر کا عدم توازن عام طور پر پہلی کلید تبدیلی پر، تعیناتی کی منظوری کے بہت بعد ظاہر ہوتا ہے۔
منظور شدہ سیٹ کو نظرثانی ریکارڈ کے ساتھ رکھیں۔ پھر اگلی macOS اپڈیٹ یا گیٹ وے تبدیلی کے پاس موازنے کے لیے بنیادی لکیر ہوگی، بجائے ایسے پروفائل کے جو آج محض اتفاق سے جڑتا ہے۔