#5711: Подключение VPN IKEv2 с MacOS

Отредактирована: 43 дня назад

Симптомы

Не получается выполнить подключение VPN RA по протоколу IKEv2 с клиентов под macOS
Ikev2 перестал работать у клиентов IOS после обновления устройств (ios обновили до версии 26.4.1, до этого стояла версия ios 17 версии и все работало)

Решение

Для работы IKEv2 с MacOS\iOS 26+ требуется добавить в NGFW поддержку Multiple Key Exchanges, по этой задаче SUM-21616 уже ведётся работа.

В качестве Workaround имеются следующие варианты:

1) Сделать через профиль в IOS и спец команду в MacOS:

To temporarily enable compatibility mode for iOS 26 devices connecting to TLS servers needing post-quantum encryption, use the: defaults write com.apple.network.tls AllowPQTLSFallback -bool true,  command on macOS Tahoe 26, or for other iOS 26 devices, download configuration profiles from the AppleSeed for IT Resources page to allow connections that don't support quantum-secure encryption. 

For macOS Tahoe 26: 
Open Terminal on your macOS device.
Enter the following command and press Enter:
Code: defaults write com.apple.network.tls AllowPQTLSFallback -bool true

For iOS 26, iPadOS 26, and visionOS 26: 
Navigate to the AppleSeed for IT Resources page.
Download the necessary configuration profiles for your devices.
Deploy these configuration profiles via your device management service to enable the compatibility mode.
Why This Is Needed

iOS 26, iPadOS 26, macOS Tahoe 26, and visionOS 26 devices will advertise support for quantum-secure encryption in TLS 1.3, potentially preventing connections with older servers. 

Enabling this temporary compatibility mode allows devices to retry connections without advertising quantum-secure encryption support, ensuring compatibility with network appliances not yet ready for post-quantum cryptography. 
This compatibility mode will not be available in future versions of the operating systems. 

Профиль надо делать тут https://beta.apple.com/for-it

2) Импортировать (профиль во вложении) для нативных клиентов в MacOS и iOS со следующими настройками:

<key>DisableMOBIKE</key><integer>0</integer>
<key>DisableRedirect</key><integer>0</integer>
<key>ExtendedAuthEnabled</key><integer>1</integer>
<key>AuthenticationMethod</key><string>None</string>

3) Выполнить экспорт конфигурации с устройства ниже версии 26 и импортировать на обновленное устройство.

4) Использовать Usergate Client, доступный в личном кабинете https://my.usergate.com/customer/download

5) Использовать сторонний клиент, например https://apps.apple.com/ru/app/ikev2/id1542583818