Бірнеше клиентке сәйкес келетін IKEv2 параметрлерін жоспарлаңыз
Жұмыс істеп тұрған жұмыс үстелі профилі бір клиентті сынады. Сәйкестік келісімін келісіп, қолдау көрсетілген ортақ бөлікті таңдап, содан кейін әр платформа үшін жаңарту мен ұйқыны тексеріңіз.
Бір жұмыс үстелінде жұмыс істеп тұрған профиль — бір клиенттің сәтті сынағы. Бұл платформааралық орналастыру емес, және оны солай қарастыру таныс қолдау үлгісін тудырады: Windows қосылады, телефон сәйкестікті тексеруде сәтсіздікке ұшырайды, ал басқарылатын ноутбук әр оянғанда қайта қосылады. Айырмашылықтар нақты және көбінесе болжамды, сондықтан жоспар скриншот емес, матрица болуы керек.
Алдымен сәйкестік келісімін анықтаңыз
Алгоритмдерді талқыламас бұрын сервер сәйкестігін, сертификатқа сенімді және клиенттің аутентификация әдісін құжаттаңыз. Осы үшеуі клиенттің мүлдем аутентификациялана алатынын шешеді, және платформалар дәл осы бөліктерді басқаша білдіреді.
Әр платформа күтілетін идентификаторды қалай атайтынын және субъектінің балама атауларын қалай өңдейтінін тексеріңіз. Бір клиентте сервер атауын қабылдайтын профиль екіншісінде сол сертификаттан бас тартуы мүмкін, өйткені идентификатор өрісі басқа мәнмен толтырылады.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Содан кейін криптографиялық ортақ бөлікті таңдаңыз
Әрбір қолдау көрсетілген клиент ұсына алатын ұсыныстарды салыстырыңыз және шлюз де рұқсат ететін заманауи ортақ бөлікті таңдаңыз. Бір ескі құрылғы қосылуы үшін тым үлкен ескі тізімді қоспаңыз, өйткені бұл тізім кейінгілердің бәрі үшін шлюздің әдепкі параметріне айналады. Әр ескі нұсқаның неліктен әлі бар екенін жазып қойыңыз. Егер оған қажет құрылғыны ешкім атай алмаса, бұл талап емес.
Жоспарда IKE және CHILD параметрлерін бөлек ұстаңыз. IKE алмасуы үшін қолайлы ұсыныс қорғалған трафик үшін автоматты түрде қолайлы емес, және екеуі бөлек келісіледі. Бір қабатта ұсынысты қабылдайтын шлюз оны екінші қабатта әлі де қабылдамауы мүмкін, және журнал бірінші қабат сәтті болғандай көрінетін ақауды көрсетеді.
Тіркелгі деректерін тексерілген процесс арқылы беріңіз және пайдаланушы құпиясөзін, ортақ құпияны және клиенттің жеке кілтін өз өрістерінде ұстаңыз. Ұқсас атаулы жәшіктердегі сынақ пен қате — жұмыс істеп тұрған сынақты қайталау мүмкін емес сынаққа айналдыратын жол.
Тұрақты күйді емес, өмірлік циклді сынаңыз
Әр клиент үшін бастапқы аутентификацияны, болжамды қолданбаны, DNS шешімін және мекенжай отбасыларының қамтуын сынаңыз. Содан кейін тек кейінірек пайда болатын бөліктерді жаттықтырыңыз: жаңарту, ұйқы және қалыпты желі өзгерісі.
MOBIKE қолдауы және қайта аутентификация мінез-құлқы жаңа ғана өлшеген тұрақты нәтижеден өзгеше болуы мүмкін. Сол сәттегі оқиға мен бірлестік күйін жазыңыз, интерфейстің соңында қосылған көрінуін ғана емес.
VPN қолжетімсіз кезде тікелей трафиктің не істей алатынын анықтаңыз. Бұл клиенттің қайта қосылатынына қатыссыз саясат шешімі, және көптеген орналастырулар бірінші сұрақты елемей, екіншісіне жауап береді. Жауапты профиль атауларының жанындағы орналастыру жазбаларына жазыңыз. Біреуге ол үзіліс кезінде қажет болады, ал оны қайта құруға уақыты болмайды.
Бір платформа келіспеген кезде сервер сәйкестігін тексеруді қолданыңыз
Профиль бір платформада жұмыс істеп, екіншісі оның атауынан бас тартқанда, клиент шын мәнінде жіберген идентификаторды сертификат тасымалдайтын идентификаторлармен салыстырыңыз. Бұл салыстыру бұл жағдайлардың көбін шифр тізімдерін өзгертуден тезірек шешеді.
Сыналған матрицаны конфигурация көзімен және жаңарту процедурасымен бірге сақтаңыз. Ескі клиентті қолдау аяқталғанда, келесі аудит табуы үшін шлюзде әлсіз үйлесімділік параметрлерін жасырып қалдырудың орнына оның ерекшелігін әдейі жойыңыз. strongSwan-ның IKEv2 құжаттамасы алмасулардың қалай конфигурацияланатыны туралы пайдалы анықтама.