خطّط لإعدادات IKEv2 التي تناسب أكثر من عميل واحد
ملف سطح مكتب عامل اختبر عميلاً واحداً. اتفق على عقد الهوية، واختر تقاطعاً مدعوماً، ثم اختبر التجديد والسكون لكل منصة.
الملف العامل على سطح مكتب واحد هو اختبار ناجح لعميل واحد. وهو ليس نشراً عابراً للمنصات، والتعامل معه على هذا النحو يُنتج نمط الدعم المألوف: يتصل Windows، ويفشل الهاتف في فحص الهوية، ويعيد الحاسوب المحمول المُدار الاتصال في كل مرة يستيقظ فيها. الاختلافات حقيقية ويمكن توقعها في معظمها، ولهذا ينبغي أن تكون الخطة مصفوفة لا لقطة شاشة.
حدّد عقد الهوية أولاً
وثّق هوية الخادم وثقة الشهادة، ثم طريقة مصادقة العميل قبل مناقشة الخوارزميات. هذه الثلاثة تحدّد ما إذا كان العميل قادراً على المصادقة أصلاً، وهي الأجزاء التي تعبّر عنها المنصات بصورة مختلفة.
تحقّق من كيفية تسمية كل منصة للمُعرِّف المتوقع، وكيفية تعاملها مع الأسماء البديلة للموضوع. قد يقبل ملفٌ اسم خادم على عميل واحد ويرفض الشهادة نفسها على عميل آخر لأن حقل المُعرِّف يُملأ من قيمة مختلفة.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
ثم اختر التقاطع التشفيري
قارن المقترحات التي يستطيع كل عميل مدعوم تقديمها واختر تقاطعاً حديثاً تسمح به البوابة أيضاً. لا تُفعّل قائمة قديمة مفرطة الحجم كي يتصل جهاز قديم واحد، لأن تلك القائمة تصبح الوضع الافتراضي للبوابة لكل من يأتي بعد ذلك. اكتب سبب بقاء كل خيار قديم. وإذا لم يستطع أحد تسمية الجهاز الذي يحتاجه، فهو ليس متطلباً.
أبقِ إعدادات IKE وCHILD منفصلة في الخطة. المقترح المقبول لتبادل IKE ليس مقبولاً تلقائياً لحركة المرور المحمية، والاثنان يُتفاوض عليهما على نحو منفصل. قد ترفض البوابة التي تقبل مقترحاً في طبقة ما المقترح نفسه في الطبقة الأخرى، وسيُظهر السجل فشلاً يبدو وكأن الطبقة الأولى نجحت.
زوّد بيانات الاعتماد عبر عملية مُتحقَّق منها، وأبقِ كلمة مرور المستخدم والسر المشترك والمفتاح الخاص بالعميل في حقولها الخاصة. التجربة والخطأ عبر صناديق متشابهة الأسماء هي الطريق الذي يحوّل اختباراً ناجحاً إلى اختبار لا يمكن تكراره.
اختبر دورة الحياة، لا الحالة المستقرة
لكل عميل، اختبر المصادقة الأولية والتطبيق المقصود وتحليل DNS وتغطية عائلات العناوين. ثم مارس الأجزاء التي لا تظهر إلا لاحقاً: التجديد والسكون وتغيّر شبكة عادي.
قد يختلف دعم MOBIKE وسلوك إعادة المصادقة عن النتيجة المستقرة التي قِستها للتو. سجّل الحدث وحالة الارتباط في تلك اللحظة، لا مجرد ما إذا كانت الواجهة تبدو متصلة في النهاية.
حدّد ما يجوز لحركة المرور المباشرة فعله أثناء تعذّر توفر VPN. هذا قرار سياسات مستقل عن مسألة إعادة اتصال العميل، ومعظم عمليات النشر تجيب عن السؤال الثاني بينما تتجاهل الأول. اكتب الإجابة في ملاحظات النشر بجانب أسماء الملفات. سيحتاجها أحدهم أثناء انقطاع، ولن يكون لديه وقت لإعادة بنائها.
استخدم فحوص هوية الخادم عندما تختلف منصة واحدة
عندما يعمل ملف على منصة ويرفض آخر اسمه، قارن المُعرِّف الذي أرسله العميل فعلاً بالمُعرِّفات التي تحملها الشهادة. هذه المقارنة تحلّ معظم هذه الحالات أسرع من تغيير قوائم التشفير.
احتفظ بالمصفوفة المختبرة مع مصدر التكوين وإجراء التحديث. عندما ينتهي دعم عميل قديم، أزل استثناءه عن قصد بدلاً من ترك إعدادات توافق أضعف مخفية في البوابة ليكتشفها التدقيق التالي. توثيق strongSwan لـ IKEv2 مرجع مفيد لكيفية تكوين التبادلات.