Skipuleggðu IKEv2-stillingar sem henta fleiri en einum biðlara
Virk skjáborðssnið hefur prófað einn biðlara. Samþykktu auðkennissamninginn, veldu studda skörun og prófaðu síðan endurnýjun og svefn fyrir hverja kerfisheild.
Virk snið á einu skjáborði eru farsæl prófun á einum biðlara. Þetta er ekki dreifing yfir margar kerfisheildir, og að meðhöndla það sem slíka framkallar kunnuglegt stuðningsmynstur: Windows tengist, síminn mistekst í auðkennisskoðun og stýrði fartölvan endurtengist í hvert sinn sem hún vaknar. Mismunurinn er raunverulegur og að mestu fyrirsjáanlegur, þess vegna ætti áætlunin að vera fylki en ekki skjáskot.
Ákveddu fyrst auðkennissamninginn
Skráðu auðkenni þjónsins, traust á vottorðinu og aðferðina við auðkenningu biðlara áður en rætt er um reiknirit. Þessi þrjú ákveða hvort biðlari getur yfirleitt auðkennt sig, og þau eru þeir hlutar sem kerfisheildir tjá á mismunandi hátt.
Athugaðu hvernig hver kerfisheild nefnir vænt auðkenni og hvernig hún meðhöndlar varanleg viðfangsefni. Snið sem tekur við þjónsnafni á einum biðlara getur hafnað sama vottorði á öðrum vegna þess að auðkennisreiturinn er fylltur úr öðru gildi.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Veldu síðan dulritunarfræðilegu skörunina
Berðu saman tillögur sem hver studdur biðlari getur boðið og veldu nútímalega skörun sem gáttin leyfir líka. Ekki virkja yfirstærða gamlan lista svo ein gömul tæki tengist, því sá listi verður sjálfgefið gildi gáttarinnar fyrir alla sem koma á eftir. Skrifaðu niður hvers vegna hver gömul valkostur er enn til staðar. Ef enginn getur nefnt tækið sem þarf hana, er það ekki krafa.
Haltu IKE- og CHILD-stillingum aðskildum í áætluninni. Tillaga sem er ásættanleg fyrir IKE-skipti er ekki sjálfkrafa ásættanleg fyrir varinn umferð, og þær tvær eru samdar sér. Gátt sem tekur við tillögu á einu lagi getur samt hafnað henni á hinu, og annállinn sýnir bilun sem lítur út eins og fyrsta lagið hafi tekist.
Útvegaðu skírteini með staðfestu ferli og haltu lykilorði notanda, sameiginlegu leyndarmáli og einkalykli biðlara í eigin reitum. Reynsla og mistök á svipuðum kössum er leiðin sem virk prófun verður óendurtakanleg.
Prófaðu lífsferilinn, ekki stöðuga ástandið
Fyrir hvern biðlara, prófaðu upphaflega auðkenningu, fyrirhugað forrit, DNS-upplausn og þekju vistfangafjölskyldna. Æfðu síðan hlutana sem koma aðeins fram síðar: endurnýjun, svefn og venjulega netbreytingu.
MOBIKE-stuðningur og hegðun endurauðkenningar geta verið frábrugðin stöðugu niðurstöðunni sem þú mældir rétt í þessu. Skráðu atburðinn og stöðu samtengingarinnar á þeim tíma, ekki bara hvort viðmótið virðist loks tengt.
Skilgreindu hvað bein umferð má gera á meðan VPN er ekki tiltækt. Það er stefnumótandi ákvörðun aðskilin frá því hvort biðlarinn endurtengist, og flestar dreifingar svara seinni spurningunni á meðan fyrsta er hunsuð. Skrifaðu svarið í dreifingarathugasemdirnar við hlið sniðnanna. Einhver þarf það í truflun og hefur ekki tíma til að endurbyggja það.
Notaðu auðkennisskoðanir þjóns þegar ein kerfisheild er ósammála
Þegar snið virkar á einni kerfisheild og önnur hafnar nafni þess, berðu saman auðkennið sem biðlarinn sendi í raun og auðkennin sem vottorðið ber. Sá samanburður leysir flest þessara tilvika hraðar en að breyta dulritunarlistum.
Geymdu prófaða fylkið með stillingarheimildinni og uppfærsluaðferðinni. Þegar stuðningur við gamlan biðlara endar, fjarlægðu undantekningu hans viljandi í stað þess að skilja veikari samhæfnisstillingar eftir faldar í gáttinni fyrir næstu úttekt að finna. Skjöl strongSwan um IKEv2 eru gagnleg tilvísun um hvernig skiptin eru stillt.