Mac IKEv2 profili: ikkala SA lug’atini ham sozlang, so’ngra sinab ko’ring
O’sha lug’at bo’lmaganda IKE parametrlarini Child SA meros oladi. Ikkalasini ham to’ldiring, nomlarni tarjima qiling va tomonlar aslida nimani kelishganini tekshiring.
Muvaffaqiyatli ulanish faqat ikki tomon ham qabul qiladigan qiymatlar to’plamini topganini isbotlaydi. Boshqariladigan Mac IKEv2 profili ikkita xavfsizlik assotsiatsiyasi lug’atini olib yuradi, shlyuzning o’z takliflar ro’yxati bor va ulanish ikki tomon ruxsat bergan har qanday kesishmada amalga oshadi. Quyidagi tekshiruvlarni tartib bilan bajaring va yana bir shifr qo’shib, u yordam beradimi-yo’qmi ko’rish o’rniga ikki tomon kelishmaydigan joyda to’xtang. Har bir qadam profilning boshqa qatlamini istisno qiladi.
Qiymatni tahrirlashdan oldin ikkala lug’atni tekshiring
VPN yuklamasining IKEv2 sozlamalarida IKESecurityAssociationParameters IKE assotsiatsiyasini, ChildSecurityAssociationParameters esa Child SA ni tavsiflaydi. Apple sxemasi ikkinchi lug’at bo’lmaganda IKE parametrlari Child SA ga ham tegishli ekanini aytadi. Bu meros qulay va profil aynan shunday qilib hech kim ongli ravishda tanlamagan qiymatlar bilan qoladi.
<key>IKESecurityAssociationParameters</key>
<dict>
<key>EncryptionAlgorithm</key><string>AES-256</string>
<key>IntegrityAlgorithm</key><string>SHA-256</string>
<key>DiffieHellmanGroup</key><integer>14</integer>
<key>LifeTimeInMinutes</key><integer>1440</integer>
</dict>Qiymatlar mos kelsa ham ikkala qatorni joylashtirish yozuviga yozing. Shunda ko’rib chiquvchi Child SA tasodifan meros olinmaganini, ko’rib chiqilganini ko’radi va bir qatordagi keyingi o’zgarish ikkinchisini jimgina o’zgartirmaydi.
Satrni nusxalashdan oldin har bir kalitning ma’nosini tekshiring
To’rtta kalit boshqa mahsulotning taklif satri bilan almashtirilmaydi. Algoritm nomlari amalga oshirishga bog’liq, shuning uchun tanlangan to’plamni Apple maydoniga strongSwan taklifini yopishtirish o’rniga har bir tomonning hujjatlashtirilgan sintaksisi orqali tarjima qiling.
| Key | Holds | Common mistake |
|---|---|---|
| EncryptionAlgorithm | Cipher for that association | Assuming an AEAD name also sets integrity |
| IntegrityAlgorithm | Integrity for the chosen suite | Leaving it set for an AEAD suite that does not use one |
| DiffieHellmanGroup | Numeric group identifier | Reading the number as key size in bits |
| LifeTimeInMinutes | Association lifetime | Setting it shorter than the gateway's renewal margin |
«Eng katta guruh raqamini ishlating» tanlash usuli emas. Guruh identifikatorlari turli tuzilmalarni bildiradi va kattaroq raqam shunchaki bir xil narsaning kuchliroq versiyasini anglatmaydi. Shlyuz egasiga to’liq kombinatsiyani tasdiqlatib oling, chunki to’plam bir butun sifatida haqiqiy yoki noloyiq. Tasdiqlanmagan guruh bilan tasdiqlangan shifr tasdiqlanmagan taklifdir va u yo muvaffaqiyatsiz bo’ladi, yo hech bir tomon hujjatlashtirmagan narsaga jimgina qaytadi.
Eski algoritmlarni pensiyaga chiqaradigan versiya chegaralarini tekshiring
Apple yuklama sxemasi DES, 3DES, SHA1-96, SHA1-160 va Diffie-Hellman 1, 2 va 5 guruhlarini 26 dan oldingi macOS versiyalari bilan cheklaydi. Eski joylashtirishdan ko’chirilgan profil hali ham o’sha qiymatlardan birini saqlashi va hali ham eski shlyuzga ulanishi mumkin, va ishlayotgan konfiguratsiya foydalanishdan chiqarish sanasini yashirgan holat aynan shu.
Profilni qurishdan oldin qo’llab-quvvatlanadigan Mac versiyalarini va shlyuz yuritadigan taklif siyosatini oling. So’ngra kesishmani tanlang va qolgan variantlar nima uchun chiqarib tashlanganini yozib qo’ying. «Shlyuz eski mijozlar uchun hali ham 2-guruhni taklif qiladi» degan izoh tarixsiz shifrlar ro’yxatidan qimmatroq. Bu izohsiz keyingi ko’rib chiquvchi ataylab qilingan istisnoni beparvolikdan ajrata olmaydi.
Autentifikatsiyani alohida satrda tekshiring
Taklif bo’yicha kelishuv noto’g’ri server identifikatsiyasini tuzatmaydi. Shlyuz identifikatsiyasi, sertifikatga ishonch va foydalanuvchi yoki qurilma ma’lumotlari alohida qarorlardir va algoritmlar to’liq mos bo’lsa ham har biri muvaffaqiyatsiz bo’lishi mumkin. Sertifikatning imzo algoritmini o’zgartirish IKE shifrlash algoritmini tanlash bilan bir xil harakat emas, ikkalasi ham bitta ko’rikda ko’rinsa ham.
Kutilayotgan server identifikatsiyasini yozuvda taklif yonida saqlang. Sertifikat o’zgarganidan keyin ulanish muvaffaqiyatsiz bo’lsa, bu juftlik keyingi odamga avval muzokaralar yoki ishonch qarori harakat qilganini aytadi.
Bitta reviziyani joylashtiring va nima kelishilganini tekshiring
Tashkilotning qo’llab-quvvatlanadigan tarqatish ish oqimidan foydalaning va profil identifikatori, reviziya, maqsadli Mac versiyalari va mos shlyuz siyosatini yozib qo’ying. Ulana olmaydigan qurilmalarga hujjatlashtirilgan tiklash yo’lini bering va egaligini hech kim aniqlay olmaydigan bir xil nomli ikkinchi profil yaratishdan saqlaning.
Qabul paytida o’rnatilgan konfiguratsiyani va kelishilgan IKE va Child assotsiatsiyalarini tasdiqlangan diagnostika orqali tekshiring. So’ngra boshqariladigan yangilanishni majburlang, chunki birinchi ulanish faqat boshlang’ich muzokaralar ishlaganini isbotlaydi; umr nomuvofiqligi odatda birinchi kalit almashtirishda, joylashtirish tasdiqlanganidan ancha keyin paydo bo’ladi.
Qabul qilingan to’plamni reviziya yozuvi bilan birga saqlang. Shunda keyingi macOS yangilanishi yoki shlyuz o’zgarishi bugun tasodifan ulanadigan profil o’rniga solishtirish uchun asosiy chiziqqa ega bo’ladi.