IKEv2-Einstellungen für mehr als einen Client planen
Ein funktionierendes Desktop-Profil hat einen Client getestet. Legen Sie den Identitätsvertrag fest, wählen Sie eine unterstützte Schnittmenge und testen Sie dann Erneuerung und Ruhezustand pro Plattform.
Ein funktionierendes Profil auf einem Desktop ist ein erfolgreicher Test eines Clients. Es ist keine plattformübergreifende Bereitstellung, und wer es als eine behandelt, erhält das bekannte Supportmuster: Windows verbindet sich, das Telefon scheitert an der Identitätsprüfung, und das verwaltete Notebook verbindet sich bei jedem Aufwachen erneut. Die Unterschiede sind real und weitgehend vorhersehbar, deshalb sollte der Plan eine Matrix sein und kein Screenshot.
Legen Sie zuerst den Identitätsvertrag fest
Dokumentieren Sie die Serveridentität, das Zertifikatsvertrauen und die Methode zur Client-Authentifizierung, bevor Sie über Algorithmen sprechen. Diese drei entscheiden, ob sich ein Client überhaupt authentifizieren kann, und sie sind die Teile, die Plattformen unterschiedlich ausdrücken.
Prüfen Sie, wie jede Plattform den erwarteten Bezeichner benennt und wie sie alternative Subjektnamen behandelt. Ein Profil, das einen Servernamen auf einem Client akzeptiert, kann dasselbe Zertifikat auf einem anderen ablehnen, weil das Bezeichnerfeld aus einem anderen Wert gefüllt wird.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Wählen Sie dann die kryptografische Schnittmenge
Vergleichen Sie die Vorschläge, die jeder unterstützte Client anbieten kann, und wählen Sie eine moderne Schnittmenge, die auch das Gateway zulässt. Aktivieren Sie keine überdimensionierte Altliste, damit ein altes Gerät sich verbinden kann, denn diese Liste wird für alle Nachfolgenden zur Voreinstellung des Gateways. Notieren Sie, warum jede Altoption noch vorhanden ist. Wenn niemand das Gerät benennen kann, das sie braucht, ist sie keine Anforderung.
Halten Sie IKE- und CHILD-Einstellungen im Plan getrennt. Ein Vorschlag, der für den IKE-Austausch akzeptabel ist, ist nicht automatisch für geschützten Verkehr akzeptabel, und beide werden getrennt ausgehandelt. Ein Gateway, das einen Vorschlag in einer Schicht akzeptiert, kann ihn in der anderen dennoch ablehnen, und das Protokoll zeigt einen Fehler, der so aussieht, als wäre die erste Schicht erfolgreich gewesen.
Stellen Sie Anmeldedaten über einen verifizierten Prozess bereit und halten Sie ein Benutzerpasswort, ein gemeinsames Geheimnis und einen privaten Clientschlüssel in eigenen Feldern. Ausprobieren an ähnlich benannten Kisten ist der Weg, auf dem ein funktionierender Test zu einem nicht reproduzierbaren wird.
Testen Sie den Lebenszyklus, nicht den Dauerzustand
Testen Sie für jeden Client die anfängliche Authentifizierung, die vorgesehene Anwendung, die DNS-Auflösung und die Abdeckung der Adressfamilien. Trainieren Sie dann die Teile, die erst später auftreten: Erneuerung, Ruhezustand und einen normalen Netzwerkwechsel.
MOBIKE-Unterstützung und Reauthentifizierungsverhalten können vom soeben gemessenen Dauerzustand abweichen. Halten Sie das Ereignis und den Assoziationszustand zu diesem Zeitpunkt fest, nicht nur, ob die Schnittstelle am Ende verbunden aussieht.
Definieren Sie, was direkter Verkehr tun darf, während das VPN nicht verfügbar ist. Das ist eine Richtlinienentscheidung, getrennt davon, ob sich der Client erneut verbindet, und die meisten Bereitstellungen beantworten die zweite Frage, während sie die erste ignorieren. Schreiben Sie die Antwort in die Bereitstellungsnotizen neben den Profilnamen. Jemand wird sie während einer Störung brauchen und keine Zeit haben, sie zu rekonstruieren.
Nutzen Sie Serveridentitätsprüfungen, wenn eine Plattform nicht zustimmt
Wenn ein Profil auf einer Plattform funktioniert und eine andere seinen Namen ablehnt, vergleichen Sie den Bezeichner, den der Client tatsächlich gesendet hat, mit den Bezeichnern, die das Zertifikat trägt. Dieser Vergleich löst die meisten dieser Fälle schneller als der Wechsel von Cipher-Listen.
Bewahren Sie die getestete Matrix zusammen mit der Konfigurationsquelle und dem Aktualisierungsverfahren auf. Wenn der Support für einen alten Client endet, entfernen Sie seine Ausnahme bewusst, statt schwächere Kompatibilitätseinstellungen im Gateway versteckt zu lassen, damit der nächste Audit sie findet. Die strongSwan-Dokumentation zu IKEv2 ist eine nützliche Referenz dafür, wie die Austausche konfiguriert werden.