Suunnittele IKEv2-asetukset useammalle kuin yhdelle asiakkaalle
Toimiva työpöytäprofiili on testannut yhden asiakkaan. Sopikaa identiteettisopimus, valitkaa tuettu leikkaus ja testatkaa sitten uusiminen ja uni alustakohtaisesti.
Toimiva profiili yhdellä työpöydällä on yhden asiakkaan onnistunut testi. Se ei ole monialustainen käyttöönotto, ja sellaisena käsiteltynä syntyy tuttu tukikuvio: Windows yhdistää, puhelin epäonnistuu identiteettitarkistuksessa ja hallittu kannettava yhdistää uudelleen joka kerta, kun se herää. Erot ovat todellisia ja pääosin ennustettavia, siksi suunnitelman pitäisi olla matriisi eikä kuvakaappaus.
Päättäkää ensin identiteettisopimus
Dokumentoikaa palvelimen identiteetti, sertifikaatin luottamus ja asiakkaan todennusmenetelmä ennen kuin keskustelette algoritmeista. Nämä kolme ratkaisevat, voiko asiakas ylipäätään todentaa itsensä, ja juuri ne alustat ilmaisevat eri tavoin.
Tarkistakaa, miten kukin alusta nimeää odotetun tunnisteen ja miten se käsittelee kohteen vaihtoehtoisia nimiä. Profiili, joka hyväksyy palvelimen nimen yhdellä asiakkaalla, voi hylätä saman sertifikaatin toisella, koska tunnistekenttä täytetään eri arvosta.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Valitkaa sitten kryptografinen leikkaus
Verrataan ehdotuksia, joita kukin tuettu asiakas voi tarjota, ja valitaan nykyaikainen leikkaus, jonka yhdyskäytävä myös sallii. Älkää ottako käyttöön liian suurta vanhaa listaa, jotta yksi vanha laite yhdistäisi, koska siitä listasta tulee yhdyskäytävän oletus kaikille seuraaville. Kirjoittakaa ylös, miksi kukin vanha vaihtoehto on vielä olemassa. Jos kukaan ei osaa nimetä laitetta, joka sitä tarvitsee, se ei ole vaatimus.
Pitäkää IKE- ja CHILD-asetukset erillään suunnitelmassa. IKE-vaihtoon hyväksyttävä ehdotus ei ole automaattisesti hyväksyttävä suojatulle liikenteelle, ja niistä kahdesta neuvotellaan erikseen. Yhdyskäytävä, joka hyväksyy ehdotuksen yhdessä kerroksessa, voi silti hylätä sen toisessa, ja loki näyttää virheen, joka näyttää siltä kuin ensimmäinen kerros olisi onnistunut.
Hankkikaa tunnukset vahvistetun prosessin kautta ja pitäkää käyttäjän salasana, jaettu salaisuus ja asiakkaan yksityinen avain omissa kentissään. Yritys ja erehdys samannimisissä laatikoissa on tapa, jolla toimivasta testistä tulee toistamaton.
Testatkaa elinkaari, älkää vakiotilaa
Testatkaa jokaiselle asiakkaalle alkutodennus, aiottu sovellus, DNS-selvitys ja osoiteperheiden kattavuus. Harjoitelkaa sitten osia, jotka ilmenevät vasta myöhemmin: uusiminen, uni ja tavallinen verkkomuutos.
MOBIKE-tuki ja uudelleentodennuksen käyttäytyminen voivat poiketa juuri mittaamastanne vakiotilasta. Kirjatkaa tapahtuma ja liitoksen tila tuolla hetkellä, älkää vain sitä, näyttääkö käyttöliittymä lopulta yhdistetyltä.
Määritelkää, mitä suora liikenne saa tehdä, kun VPN ei ole käytettävissä. Se on linjapäätös erillään siitä, yhdistääkö asiakas uudelleen, ja useimmat käyttöönotot vastaavat toiseen kysymykseen samalla kun ne jättävät ensimmäisen huomiotta. Kirjoittakaa vastaus käyttöönoton muistiinpanoihin profiilien nimien viereen. Joku tarvitsee sitä katkoksen aikana, eikä hänellä ole aikaa rakentaa sitä uudelleen.
Käyttäkää palvelimen identiteettitarkistuksia, kun yksi alusta on eri mieltä
Kun profiili toimii yhdellä alustalla ja toinen hylkää sen nimen, verratkaa tunnistetta, jonka asiakas todella lähetti, sertifikaatin kantamiin tunnisteisiin. Tämä vertailu ratkaisee useimmat näistä tapauksista nopeammin kuin salauslistojen vaihtaminen.
Säilyttäkää testattu matriisi kokoonpanolähteen ja päivitysmenettelyn kanssa. Kun vanhan asiakkaan tuki päättyy, poistakaa sen poikkeus tarkoituksella sen sijaan, että jättäisitte heikommat yhteensopivuusasetukset piiloon yhdyskäytävään seuraavan auditoinnin löydettäväksi. strongSwanin IKEv2-dokumentaatio on hyödyllinen viite siihen, miten vaihdot määritetään.