Birdən çox müştəriyə uyğun IKEv2 parametrlərini planlaşdırın
İşləyən masaüstü profili bir müştərini sınaqdan keçirib. Şəxsiyyət müqaviləsini razılaşdırın, dəstəklənən kəsişməni seçin, sonra hər platforma üzrə yenilənmə və yuxu rejimini sınayın.
Bir masaüstündə işləyən profil bir müştərinin uğurlu sınağıdır. Bu, platformalararası yerləşdirmə deyil və onu belə hesab etmək tanış dəstək modelini yaradır: Windows qoşulur, telefon şəxsiyyət yoxlamasında uğursuz olur, idarə olunan noutbuk isə hər oyandıqda yenidən qoşulur. Fərqlər realdır və əsasən proqnozlaşdırıla biləndir, buna görə də plan ekran görüntüsü deyil, matris olmalıdır.
Əvvəlcə şəxsiyyət müqaviləsini müəyyənləşdirin
Alqoritmləri müzakirə etməzdən əvvəl server şəxsiyyətini, sertifikat etimadını və müştəri autentifikasiyası metodunu sənədləşdirin. Bu üçü müştərinin ümumiyyətlə autentifikasiya edə bilib-bilmədiyini həll edir və platformaların fərqli ifadə etdiyi hissələr məhz bunlardır.
Hər platformanın gözlənilən identifikatoru necə adlandırdığını və subyekt alternativ adlarını necə idarə etdiyini yoxlayın. Bir müştəridə server adını qəbul edən profil, identifikator sahəsi fərqli dəyərdən doldurulduğu üçün eyni sertifikatı digərində rədd edə bilər.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Sonra kriptoqrafik kəsişməni seçin
Hər dəstəklənən müştərinin təklif edə biləcəyi variantları müqayisə edin və şlüzün də icazə verdiyi müasir kəsişməni seçin. Köhnə bir cihaz qoşulsun deyə həddindən artıq böyük miras siyahısı aktivləşdirməyin, çünki həmin siyahı sonradan gələn hər kəs üçün şlüzün standartına çevrilir. Hər miras seçimin niyə hələ də orada olduğunu yazın. Əgər heç kim ona ehtiyacı olan cihazı adlandıra bilmirsə, bu tələb deyil.
Planda IKE və CHILD parametrlərini ayrı saxlayın. IKE mübadiləsi üçün məqbul olan təklif qorunan trafik üçün avtomatik məqbul deyil və ikisi ayrıca razılaşdırılır. Bir layda təklifi qəbul edən şlüz onu digər layda yenə də rədd edə bilər və jurnal birinci layın uğur qazandığı kimi görünən uğursuzluq göstərəcək.
Kimlik məlumatlarını yoxlanılmış proseslə təmin edin və istifadəçi parolunu, ortaq sirri və müştərinin şəxsi açarını öz sahələrində saxlayın. Oxşar adlı qutular üzərində sınaq və səhv, işləyən sınağın təkrarlana bilməyən sınağa çevrilməsi yoludur.
Sabit vəziyyəti deyil, həyat dövrünü sınayın
Hər müştəri üçün ilkin autentifikasiyanı, nəzərdə tutulan tətbiqi, DNS həllini və ünvan ailələrinin əhatəsini sınayın. Sonra yalnız sonradan ortaya çıxan hissələri tətbiq edin: yenilənmə, yuxu və normal şəbəkə dəyişikliyi.
MOBIKE dəstəyi və yenidən autentifikasiya davranışı indicə ölçdüyünüz sabit vəziyyət nəticəsindən fərqlənə bilər. Yalnız interfeysin sonda qoşulmuş görünüb-görünmədiyini deyil, hadisəni və həmin andakı assosiasiya vəziyyətini qeyd edin.
VPN mövcud deyilkən birbaşa trafikin nə edə biləcəyini müəyyənləşdirin. Bu, müştərinin yenidən qoşulub-qoşulmayacağından ayrı bir siyasət qərarıdır və əksər yerləşdirmələr ikinci suala cavab verərkən birincisini nəzərə almır. Cavabı profil adlarının yanındakı yerləşdirmə qeydlərinə yazın. Kimsə ona fasilə zamanı ehtiyac duyacaq və onu yenidən qurmağa vaxtı olmayacaq.
Bir platforma fərqləndikdə server şəxsiyyəti yoxlamalarından istifadə edin
Profil bir platformada işləyib digəri onun adını rədd etdikdə, müştərinin həqiqətən göndərdiyi identifikatoru sertifikatın daşıdığı identifikatorlarla müqayisə edin. Bu müqayisə bu halların çoxunu şifrə siyahılarını dəyişməkdən daha sürətli həll edir.
Sınaqdan keçirilmiş matrisi konfiqurasiya mənbəyi və yeniləmə proseduru ilə birlikdə saxlayın. Köhnə müştəri üçün dəstək bitdikdə, onun istisnasını qəsdən silin, növbəti auditin tapması üçün şlüzdə zəif uyğunluq parametrləri gizlətməyin. strongSwan IKEv2 sənədləri mübadilələrin necə konfiqurasiya olunduğu üçün faydalı mənbədir.