إعداد Cisco IPsec VPN لأجهزة Apple
استعِن بهذا القسم لتكوين خادم Cisco VPN لاستخدامه مع iOS و iPadOS و macOS، حيث تدعم جميعها جُدر حماية شبكات Cisco المعروفة باسم Adaptive Security Appliance 5500 Series و Private Internet Exchange. وتدعم iOS و iPadOS و macOS كذلك أجهزة توجيه Cisco IOS VPN مع iOS الإصدار 12.4(15)T أو أحدث. لا تدعم مكثفات VPN 3000 Series إمكانات VPN.
وسائل المصادقة
يدعم iOS و iPadOS و macOS وسائل المصادقة الآتية:
مصادقة IPsec بالمفتاح المشترك مسبقًا مع مصادقة المستخدم باستخدام الأمر
xauth.شهادات العميل والخادم لمصادقة IPsec، مع مصادقة المستخدم الاختيارية باستخدام
xauth.المصادقة المختلطة، والتي يقوم فيها الخادم بتوفير شهادة ويقوم العميل بتقديم مفتاح مشترك مسبقًا لمصادقة IPsec. مصادقة المستخدم تكون مطلوبة ويتم توفيرها باستخدام
xauth، والذي يتضمن اسم مستخدم طريقة المصادقة مع كلمة السر، و RSA SecurID.
مجموعات المصادقة
يستخدم بروتوكول Cisco Unity مجموعات المصادقة لتجميع المستخدمين استنادًا إلى مجموعة مشتركة من المعاملات. يجب عليك إنشاء مجموعة مصادقة للمستخدمين. في حالة استخدام مصادقة المفتاح المشترك مسبقًا والمصادقة المختلطة، يجب تكوين اسم المجموعة على الجهاز بحيث يكون السر المشترك (المفتاح المشترك مسبقًا) للمجموعة هو نفسه كلمة سر المجموعة.
عند استخدام مصادقة الشهادة، لا يوجود سر مشترك. يتم تحديد مجموعة المستخدم من الحقول في الشهادة. يمكن استخدام إعدادات خادم Cisco لتعيين الحقول في الشهادة إلى مجموعات المستخدمين.
يجب أن تكون RSA-Sig ذات الأولوية القصوى في قائمة أولويات ISAKMP (رابطة أمن الإنترنت وبروتوكول إدارة المفاتيح).
إعدادات وأوصاف IPsec
يمكنك تحديد هذه الإعدادات لتعريف كيفية تنفيذ IPsec:
الوضع: وضع المعبر.
وضعا تبادل IKE: الوضع الشديد (Aggressive Mode) لمصادقة المفتاح المشترك مسبقًا والمصادقة المختلطة أو الوضع الأساسي (Main Mode) لمصادقة الشهادة.
خوارزميات التشفير: 3DES أو AES-128 أو AES256.
خوارزميات المصادقة: HMAC-MD5 أو HMAC-SHA1.
مجموعات Diffie-Hellman: المجموعة 2 مطلوبة لمصادقة المفتاح المشترك مسبقًا والمشاركة المختلطة، والمجموعة 2 مع 3DES و AES-128 لمصادقة الشهادة، والمجموعة 2 أو 5 مع AES-256.
السرية التامة لإعادة التوجيه (PFS): بالنسبة إلى IKE المرحلة 2، في حالة استخدام PFS، يجب أن تكون مجموعة Diffie-Hellman هي نفسها المستخدمة لـ IKE المرحلة 1.
تكوين الوضع: يجب تمكينه.
اكتشاف النظير الخامد: مستحسن.
NAT Traversal القياسي: مدعوم ويمكن تمكينه (IPsec عبر TCP غير مدعوم).
موازنة التحميل: مدعوم ويمكن تمكينه.
تغيير مفتاح المرحلة 1: غير مدعوم حاليًا. من المستحسَن تعيين ساعة واحدة لأوقات تغيير المفتاح على الخادم.
قناع عنوان ASA: تأكد إما من عدم تعيين كل أقنعة مجمع عنوان الأجهزة وإما من تعيينها على 255.255.255.255. على سبيل المثال:
asa(config-webvpn)# ip local pool vpn_users 10.0.0.1-10.0.0.254 mask 255.255.255.255.إذا كنت تستخدم قناع العنوان الموصى به، فربما يتم تجاهل بعض الطرق المفترضة من تكوين VPN. ولتفادي ذلك، تأكد من احتواء جدول التوجيه الخاص بك على كل الطرق اللازمة، وتأكد من إمكانية الوصول إلى عناوين الشبكة الفرعية قبل النشر.
إصدار التطبيق: يتم إرسال إصدار برنامج العميل إلى الخادم، مما يتيح للخادم قبول أو رفض الاتصالات استنادًا إلى إصدار برنامج الجهاز.
شعار: يتم عرض الشعار (إذا تم تكوينه على الخادم) على الجهاز، ويجب أن يوافق المستخدم عليه أو يقوم بقطع الاتصال.
المعبر المنقسم: مدعوم.
DNS المنقسم: مدعوم.
النطاق الافتراضي: مدعوم.