Planifikatu IKEv2 ezarpenak bezero bat baino gehiagori egokitzeko
Mahai-gaineko profil funtzional batek bezero bakarra probatu du. Adostu identitate-kontratua, aukeratu onartutako ebakidura bat eta gero probatu berritzea eta loaldia plataforma bakoitzean.
Mahai-gain batean funtzionatzen duen profila bezero bakar baten proba arrakastatsua da. Ez da plataformen arteko inplementazioa, eta hala tratatuz gero ezaguna den laguntza-eredua sortzen da: Windows konektatu egiten da, telefonak huts egiten du identitate-proban, eta kudeatutako ordenagailu eramangarriak berriz konektatzen du esnatzen den bakoitzean. Desberdintasunak errealak dira eta neurri handi batean aurreikustekoak, horregatik planak matrize bat izan behar du, pantaila-argazki bat ez.
Erabaki lehenengo identitate-kontratua
Dokumentatu zerbitzariaren identitatea, ziurtagirian konfiantza eta bezeroaren autentifikazio-metodoa algoritmoak eztabaidatu aurretik. Hiru horiek erabakitzen dute bezeroa autentifikatu daitekeen ala ez, eta plataformek modu desberdinean adierazten dituzten zatiak dira.
Egiaztatu plataforma bakoitzak espero den identifikatzaileari nola deitzen dion eta subjektuaren ordezko izenak nola tratatzen dituen. Bezero batean zerbitzari-izen bat onartzen duen profilek beste batean ziurtagiri bera bazter dezake, identifikatzailearen eremua beste balio batetik betetzen delako.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Ondoren aukeratu ebakidura kriptografikoa
Konparatu onartutako bezero bakoitzak eskain dezakeen proposamenak eta aukeratu atebideak ere baimentzen duen ebakidura modernoa. Ez gaitu tamaina handiko zerrenda zaharra bezero zahar batek konektatzeko, zerrenda hori atebidearen balio lehenetsia bihurtzen baita ondoren datorren guztiarentzat. Idatzi zergatik dagoen oraindik aukera zahar bakoitza. Inork behar duen gailua izendatzen ez badu, ez da baldintza bat.
Eduki IKE eta CHILD ezarpenak bereizita planean. IKE trukerako onargarria den proposamen bat ez da automatikoki onargarria babestutako trafikoarentzat, eta biak bereiz negoziatzen dira. Geruza batean proposamen bat onartzen duen atebideak beste geruzan bazter dezake oraindik, eta erregistroak lehen geruza arrakastatsu izan dela ematen duen hutsegitea erakutsiko du.
Hornitu kredentzialak egiaztatutako prozesu baten bidez, eta eduki erabiltzailearen pasahitza, partekatutako sekretua eta bezeroaren gako pribatua beren eremuetan. Izen antzeko kutxetan proba eta akatsa da funtzionatzen duen proba errepikaezin bihurtzen den bidea.
Probatu bizi-zikloa, ez egoera egonkorra
Bezero bakoitzarentzat, probatu hasierako autentifikazioa, aurreikusitako aplikazioa, DNS ebazpena eta helbide-familien estaldura. Gero landu geroago soilik agertzen diren zatiak: berritzea, loaldia eta sare-aldaketa arrunta.
MOBIKE laguntza eta berrautentifikazioaren portaera neurtu berri duzun egoera egonkorraren emaitzatik desberdindu daitezke. Erregistratu gertaera eta elkartearen egoera une horretan, eta ez bakarrik interfazea azkenean konektatuta agertzen den.
Zehaztu zer egin dezakeen zuzeneko trafikoak VPN erabilgarri ez dagoen bitartean. Hau politikaren erabakia da, bezeroa berriz konektatzearen kontutik apartekoa, eta inplementazio gehienek bigarren galderari erantzuten diote lehenengoa alde batera utzita. Idatzi erantzuna profil-izen ondoan dauden inplementazio-oharretan. Norbaiti beharrezkoa izango zaio etendura batean, eta ez du izango berreraikitzeko denborarik.
Erabili zerbitzariaren identitatea egiaztatzea plataforma bat ados ez dagoenean
Profil bat plataforma batean funtzionatzen duenean eta beste batek haren izena baztertzen duenean, konparatu bezeroak benetan bidali zuen identifikatzailea ziurtagiriak daramatzan identifikatzaileekin. Konparazio horrek kasu horietako gehienak zifratze-zerrendak aldatzea baino azkarrago konpontzen ditu.
Gorde probatutako matrizea konfigurazio-iturriarekin eta eguneratze-prozedurarekin. Bezero zaharraren laguntza amaitzen denean, kendu bere salbuespena nahita, atebidean ahulagoak diren bateragarritasun-ezarpenak hurrengo auditoriak aurki ditzan gordeta uztea baino. strongSwan-ek IKEv2ri buruz duen dokumentazioa erreferentzia erabilgarria da trukeak nola konfiguratzen diren jakiteko.