დაგეგმეთ IKEv2 პარამეტრები, რომლებიც ერთზე მეტ კლიენტს მოერგება
მომუშავე სამუშაო მაგიდის პროფილმა ერთი კლიენტი გამოსცადა. შეათანხმეთ იდენტობის კონტრაქტი, აირჩიეთ მხარდაჭერილი კვეთა და შემდეგ თითოეული პლატფორმისთვის შეამოწმეთ განახლება და ძილი.
მომუშავე პროფილი ერთ სამუშაო მაგიდაზე ერთი კლიენტის წარმატებული გამოცდაა. ეს არ არის პლატფორმათაშორისი განლაგება, და მასზე ასე მოპყრობა ქმნის ნაცნობ მხარდაჭერის ნიმუშს: Windows უკავშირდება, ტელეფონი იდენტობის შემოწმებაზე ვერ აღწევს წარმატებას, ხოლო მართული ლეპტოპი ყოველ გაღვიძებაზე ხელახლა უკავშირდება. განსხვავებები რეალურია და უმეტესწილად პროგნოზირებადი, ამიტომ გეგმა უნდა იყოს მატრიცა და არა ეკრანის სურათი.
ჯერ განსაზღვრეთ იდენტობის კონტრაქტი
ალგორითმებზე საუბრამდე დაადგინეთ სერვერის იდენტობა, სერტიფიკატის ნდობა და კლიენტის ავთენტიფიკაციის მეთოდი. ეს სამი წყვეტს, შეუძლია თუ არა კლიენტს საერთოდ ავთენტიფიკაცია, და სწორედ მათ გამოხატავენ პლატფორმები სხვადასხვაგვარად.
შეამოწმეთ, როგორ ასახელებს თითოეული პლატფორმა მოსალოდნელ იდენტიფიკატორს და როგორ ამუშავებს სუბიექტის ალტერნატიულ სახელებს. პროფილი, რომელიც ერთ კლიენტზე იღებს სერვერის სახელს, შეიძლება მეორეზე უარყოს იგივე სერტიფიკატი, რადგან იდენტიფიკატორის ველი სხვა მნიშვნელობით ივსება.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
შემდეგ აირჩიეთ კრიპტოგრაფიული კვეთა
შეადარეთ თითოეული მხარდაჭერილი კლიენტის მიერ შემოთავაზებული ვარიანტები და აირჩიეთ თანამედროვე კვეთა, რომელსაც კარიბჭეც უშვებს. ნუ ჩართავთ გადაჭარბებულ ძველ სიას ერთი ძველი მოწყობილობის დასაკავშირებლად, რადგან ეს სია კარიბჭის ნაგულისხმევი ხდება ყველა შემდგომისთვის. ჩაწერეთ, რატომ არის ჯერ კიდევ იქ თითოეული ძველი ვარიანტი. თუ ვერავინ დაასახელებს მოწყობილობას, რომელსაც ის სჭირდება, ეს არ არის მოთხოვნა.
გეგმაში IKE და CHILD პარამეტრები განცალკევებით შეინახეთ. IKE გაცვლისთვის მისაღები შეთავაზება ავტომატურად არ არის მისაღები დაცული ტრაფიკისთვის, და ორივე ცალ-ცალკე მოლაპარაკდება. კარიბჭეს, რომელიც ერთ ფენაზე იღებს შეთავაზებას, მეორეზე მისი უარყოფა მაინც შეუძლია, და ჟურნალი აჩვენებს წარუმატებლობას, რომელიც ისე გამოიყურება, თითქოს პირველი ფენა წარმატებული იყო.
მიაწოდეთ სარწმუნოებები გადამოწმებული პროცესით და შეინახეთ მომხმარებლის პაროლი, საერთო საიდუმლო და კლიენტის პირადი გასაღები მათ საკუთარ ველებში. მსგავსი სახელების ყუთებზე ცდა და შეცდომა ის გზაა, რომლითაც მომუშავე გამოცდა ხდება განუმეორებელი.
შეამოწმეთ სასიცოცხლო ციკლი და არა მდგრადი მდგომარეობა
თითოეული კლიენტისთვის შეამოწმეთ საწყისი ავთენტიფიკაცია, განზრახული აპლიკაცია, DNS-ის გადაწყვეტა და მისამართების ოჯახების დაფარვა. შემდეგ ივარჯიშეთ იმ ნაწილებზე, რომლებიც მხოლოდ მოგვიანებით ჩნდება: განახლება, ძილი და ჩვეულებრივი ქსელის ცვლილება.
MOBIKE-ის მხარდაჭერა და ხელახალი ავთენტიფიკაციის ქცევა შეიძლება განსხვავდებოდეს ახლახან გაზომილი მდგრადი შედეგისგან. ჩაწერეთ მოვლენა და ასოციაციის მდგომარეობა იმ მომენტში, და არა მხოლოდ ის, თუ როგორ გამოიყურება ინტერფეისი საბოლოოდ დაკავშირებული.
განსაზღვრეთ, რისი გაკეთება შეუძლია პირდაპირ ტრაფიკს, სანამ VPN მიუწვდომელია. ეს პოლიტიკის გადაწყვეტილებაა, დამოუკიდებელი იმისგან, დაუკავშირდება თუ არა კლიენტი ხელახლა, და განლაგებათა უმეტესობა პასუხობს მეორე კითხვას, უგულებელყოფს რა პირველს. დაწერეთ პასუხი განლაგების ჩანაწერებში პროფილების სახელების გვერდით. ვინმეს ის დასჭირდება შეფერხების დროს და დრო არ ექნება მის ხელახლა ასაგებად.
გამოიყენეთ სერვერის იდენტობის შემოწმებები, როცა ერთი პლატფორმა არ ეთანხმება
როცა პროფილი მუშაობს ერთ პლატფორმაზე და მეორე უარყოფს მის სახელს, შეადარეთ იდენტიფიკატორი, რომელიც კლიენტმა რეალურად გაგზავნა, სერტიფიკატის მატარებელ იდენტიფიკატორებს. ეს შედარება ამ შემთხვევათა უმეტესობას უფრო სწრაფად წყვეტს, ვიდრე შიფრების სიების შეცვლა.
შეინახეთ გამოცდილი მატრიცა კონფიგურაციის წყაროსთან და განახლების პროცედურასთან ერთად. როცა ძველი კლიენტის მხარდაჭერა მთავრდება, განზრახ წაშალეთ მისი გამონაკლისი იმის ნაცვლად, რომ უფრო სუსტი თავსებადობის პარამეტრები დატოვოთ კარიბჭეში დამალული შემდეგი აუდიტისთვის. strongSwan-ის IKEv2 დოკუმენტაცია სასარგებლო ცნობარია იმის შესახებ, თუ როგორ კონფიგურდება გაცვლები.