Σχεδιάστε ρυθμίσεις IKEv2 για περισσότερους από έναν πελάτες

Ένα ενεργό προφίλ σε μία επιφάνεια εργασίας είναι μια επιτυχής δοκιμή ενός πελάτη. Δεν είναι ανάπτυξη σε πολλές πλατφόρμες, και αν το αντιμετωπίσετε ως τέτοια, προκύπτει το γνωστό μοτίβο υποστήριξης: τα Windows συνδέονται, το τηλέφωνο αποτυγχάνει στον έλεγχο ταυτότητας και ο διαχειριζόμενος φορητός υπολογιστής επανασυνδέεται κάθε φορά που ξυπνά. Οι διαφορές είναι πραγματικές και ως επί το πλείστον προβλέψιμες, γι’ αυτό το σχέδιο πρέπει να είναι ένας πίνακας και όχι ένα στιγμιότυπο οθόνης.

Καθορίστε πρώτα το συμβόλαιο ταυτότητας

Τεκμηριώστε την ταυτότητα του διακομιστή, την εμπιστοσύνη στο πιστοποιητικό και τη μέθοδο ελέγχου ταυτότητας του πελάτη πριν συζητήσετε αλγορίθμους. Αυτά τα τρία καθορίζουν αν ο πελάτης μπορεί να πιστοποιηθεί καθόλου, και είναι τα σημεία που οι πλατφόρμες εκφράζουν διαφορετικά.

Ελέγξτε πώς κάθε πλατφόρμα ονομάζει το αναμενόμενο αναγνωριστικό και πώς χειρίζεται τα εναλλακτικά ονόματα υποκειμένου. Ένα προφίλ που δέχεται ένα όνομα διακομιστή σε έναν πελάτη μπορεί να απορρίψει το ίδιο πιστοποιητικό σε άλλον, επειδή το πεδίο αναγνωριστικού συμπληρώνεται από διαφορετική τιμή.

Στη συνέχεια επιλέξτε την κρυπτογραφική τομή

Συγκρίνετε τις προτάσεις που μπορεί να προσφέρει κάθε υποστηριζόμενος πελάτης και επιλέξτε μια σύγχρονη τομή που επιτρέπει και η πύλη. Μην ενεργοποιήσετε ένα υπερβολικά μεγάλο παλιό κατάλογο ώστε να συνδεθεί μία παλιά συσκευή, γιατί αυτός ο κατάλογος γίνεται η προεπιλογή της πύλης για όλους όσοι ακολουθούν. Γράψτε γιατί υπάρχει ακόμη κάθε παλιά επιλογή. Αν κανείς δεν μπορεί να ονομάσει τη συσκευή που τη χρειάζεται, δεν είναι απαίτηση.

Κρατήστε τις ρυθμίσεις IKE και CHILD ξεχωριστές στο σχέδιο. Μια πρόταση αποδεκτή για την ανταλλαγή IKE δεν είναι αυτόματα αποδεκτή για την προστατευμένη κίνηση, και οι δύο διαπραγματεύονται χωριστά. Μια πύλη που δέχεται μια πρόταση σε ένα επίπεδο μπορεί ακόμη να την απορρίψει στο άλλο, και το αρχείο καταγραφής θα δείξει αποτυχία που μοιάζει με επιτυχία του πρώτου επιπέδου.

Παρέχετε διαπιστευτήρια μέσω επαληθευμένης διαδικασίας και κρατήστε τον κωδικό χρήστη, το κοινό μυστικό και το ιδιωτικό κλειδί του πελάτη σε δικά τους πεδία. Η δοκιμή και το σφάλμα σε κουτιά με παρόμοια ονόματα είναι ο τρόπος με τον οποίο μια λειτουργική δοκιμή γίνεται μη αναπαραγώγιμη.

Δοκιμάστε τον κύκλο ζωής, όχι τη σταθερή κατάσταση

Για κάθε πελάτη, δοκιμάστε τον αρχικό έλεγχο ταυτότητας, την προβλεπόμενη εφαρμογή, την επίλυση DNS και την κάλυψη των οικογενειών διευθύνσεων. Στη συνέχεια ασκήστε τα μέρη που εμφανίζονται μόνο αργότερα: ανανέωση, ύπνο και μια κανονική αλλαγή δικτύου.

Η υποστήριξη MOBIKE και η συμπεριφορά επαναπιστοποίησης μπορεί να διαφέρουν από το σταθερό αποτέλεσμα που μόλις μετρήσατε. Καταγράψτε το συμβάν και την κατάσταση συσχέτισης εκείνη τη στιγμή, όχι μόνο αν η διεπαφή τελικά φαίνεται συνδεδεμένη.

Καθορίστε τι επιτρέπεται να κάνει η άμεση κίνηση όσο το VPN δεν είναι διαθέσιμο. Είναι απόφαση πολιτικής ξεχωριστή από το αν ο πελάτης επανασυνδέεται, και οι περισσότερες αναπτύξεις απαντούν στο δεύτερο ερώτημα αγνοώντας το πρώτο. Γράψτε την απάντηση στις σημειώσεις ανάπτυξης δίπλα στα ονόματα των προφίλ. Κάποιος θα τη χρειαστεί κατά τη διάρκεια μιας διακοπής και δεν θα έχει χρόνο να την ανακατασκευάσει.

Χρησιμοποιήστε ελέγχους ταυτότητας διακομιστή όταν μία πλατφόρμα διαφωνεί

Όταν ένα προφίλ λειτουργεί σε μία πλατφόρμα και μια άλλη απορρίπτει το όνομά του, συγκρίνετε το αναγνωριστικό που έστειλε πραγματικά ο πελάτης με τα αναγνωριστικά που φέρει το πιστοποιητικό. Αυτή η σύγκριση λύνει τις περισσότερες από αυτές τις περιπτώσεις ταχύτερα από την αλλαγή λιστών κρυπτογράφησης.

Φυλάξτε τον δοκιμασμένο πίνακα μαζί με την πηγή διαμόρφωσης και τη διαδικασία ενημέρωσης. Όταν τελειώσει η υποστήριξη για έναν παλιό πελάτη, αφαιρέστε την εξαίρεσή του σκόπιμα αντί να αφήσετε ασθενέστερες ρυθμίσεις συμβατότητας κρυμμένες στην πύλη για να τις βρει ο επόμενος έλεγχος. Η τεκμηρίωση του strongSwan για το IKEv2 είναι χρήσιμη αναφορά για το πώς διαμορφώνονται οι ανταλλαγές.