Бирден ашык кардарга туура келген IKEv2 жөндөөлөрүн пландаңыз
Иштеп жаткан жумуш үстөлүнүн профили бир кардарды сынап көрдү. Идентификациялык келишимди макулдашып, колдоого алынган кесилишти тандаңыз, анан ар бир платформа үчүн жаңыртуу жана уйкуну текшериңиз.
Бир жумуш үстөлүндө иштеп жаткан профиль бир кардардын ийгиликтүү сынагы болуп саналат. Бул платформалар аралык жайгаштыруу эмес, жана аны ошондой кароо тааныш колдоо үлгүсүн жаратат: Windows туташат, телефон идентификацияны текшерүүдө ийгиликсиз болот, ал эми башкарылуучу ноутбук ар бир ойгонгондо кайра туташат. Айырмачылыктар реалдуу жана көбүнчө алдын ала болжолдонуучу, ошондуктан план скриншот эмес, матрица болушу керек.
Алгач идентификациялык келишимди аныктаңыз
Алгоритмдерди талкуулоодон мурун сервердин идентификациясын, сертификатка ишенимди жана кардардын аутентификация ыкмасын документтештириңиз. Бул үчөө кардардын аутентификациялана аларын чечет, жана платформалар ушул бөлүктөрдү башкача билдирет.
Ар бир платформа күтүлгөн идентификаторду кантип атайтынын жана субъектинин алтернативдик аттарын кантип иштетээрин текшериңиз. Бир кардарда сервердин атын кабыл алган профиль экинчисинде ошол эле сертификаттан баш тартышы мүмкүн, анткени идентификатор талаасы башка маани менен толтурулат.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Анан криптографиялык кесилишти тандаңыз
Ар бир колдоого алынган кардар сунуштай алган сунуштарды салыштырыңыз жана шлюз да уруксат берген заманбап кесилишти тандаңыз. Бир эски түзмөк туташуусу үчүн өтө чоң эски тизмени күйгүзбөңүз, анткени ал тизме кийинкилердин баары үчүн шлюздун демейки маанисине айланат. Ар бир эски варианттын эмне үчүн дагы эле бар экенин жазып коюңуз. Эгер ага керектүү түзмөктү эч ким атай албаса, бул талап эмес.
Планда IKE жана CHILD жөндөөлөрүн өзүнчө кармаңыз. IKE алмашуусу үчүн кабыл алынуучу сунуш корголгон трафик үчүн автоматтык түрдө кабыл алынбайт, жана экөө өзүнчө сүйлөшүлөт. Бир катмарда сунушту кабыл алган шлюз аны экинчи катмарда баш тартышы мүмкүн, жана журнал биринчи катмар ийгиликтүү болгондой көрүнгөн катаны көрсөтөт.
Каттоо маалыматтарын текшерилген процесс аркылуу бериңиз жана колдонуучунун сырсөзүн, жалпы сырды жана кардардын жеке ачкычын өз талааларында кармаңыз. Окшош аттуу кутучалардагы сыноо жана ката — иштеп жаткан сыноону кайталап болбой турган сыноого айландырган жол.
Туруктуу абалды эмес, жашоо циклин сынаңыз
Ар бир кардар үчүн баштапкы аутентификацияны, көздөлгөн колдонмону, DNS чечимин жана дарек үй-бүлөлөрүнүн камтылышын сынаңыз. Анан кийинчерээк гана пайда болгон бөлүктөрдү машыктырыңыз: жаңыртуу, уйку жана кадимки тармак өзгөрүүсү.
MOBIKE колдоосу жана кайра аутентификациялоо жүрүм-туруму жакында өлчөгөн туруктуу натыйжадан айырмаланышы мүмкүн. Ошол учурдагы окуяны жана бирикменин абалын жазыңыз, интерфейстин акырында туташкан көрүнүшүн гана эмес.
VPN жеткиликсиз болгон учурда түз трафик эмне кыла аларын аныктаңыз. Бул кардардын кайра туташуусуна байланышпаган саясат чечими, жана көпчүлүк жайгаштыруулар биринчи суроону этибарга албай экинчисине жооп берет. Жоопту профилдердин аттарынын жанындагы жайгаштыруу жазууларына жазыңыз. Бирөөгө ал тыныгуу учурунда керек болот, ал эми аны кайра курууга убактысы болбойт.
Бир платформа макул болбосо сервердин идентификациясын текшерүүнү колдонуңуз
Профиль бир платформада иштеп, экинчиси анын атын четке какканда, кардар чындыгында жиберген идентификаторду сертификат алып жүргөн идентификаторлор менен салыштырыңыз. Бул салыштыруу бул учурлардын көбүн шифр тизмелерин өзгөртүүдөн тезирээк чечет.
Сыналган матрицаны конфигурация булагы жана жаңыртуу процедурасы менен бирге сактаңыз. Эски кардарды колдоо бүткөндө, кийинки аудит табышы үчүн шлюзде алсыз шайкештик жөндөөлөрүн жашырып калтыруунун ордуна анын өзгөчөлүгүн атайылап алып салыңыз. strongSwan IKEv2 документтери алмашуулардын кантип конфигурацияланары тууралуу пайдалуу шилтеме.