Нэгээс олон клиентэд тохирох IKEv2 тохиргоог төлөвлөөрэй
Ажиллаж буй ширээний профайл нэг клиентийг туршсан. Идентификатын гэрээг тохиролцож, дэмжигдсэн огтлолцлыг сонгоод, дараа нь платформ бүрийн шинэчлэлт, унтахыг туршаарай.
Нэг ширээний компьютер дээр ажиллаж буй профайл нь нэг клиентийн амжилттай туршилт юм. Энэ нь платформ хоорондын байршуулалт биш бөгөөд үүнийг тийм гэж үзвэл танил дэмжлэгийн загвар үүсдэг: Windows холбогдож, утас нь идентификатын шалгалтад бүтэлгүйтэж, удирдлагатай зөөврийн компьютер сэрэх бүрт дахин холбогддог. Ялгаа нь бодит бөгөөд ихэвчлэн урьдчилан таамаглах боломжтой тул төлөвлөгөө нь дэлгэцийн зураг биш, матриц байх ёстой.
Эхлээд идентификатын гэрээг тодорхойлоорой
Алгоритмуудын талаар ярихаас өмнө серверийн идентификат, сертификатад итгэх итгэл, клиентийн баталгаажуулалтын аргыг баримтжуулаарай. Эдгээр гурав нь клиент ерөнхийдөө баталгаажуулж чадах эсэхийг шийддэг бөгөөд платформууд эдгээрийг өөрөөр илэрхийлдэг.
Платформ бүр хүлээгдэж буй идентификаторыг хэрхэн нэрлэж, субьектийн өөр нэрсийг хэрхэн зохицуулдгийг шалгаарай. Нэг клиент дээр серверийн нэрийг хүлээн авдаг профайл нөгөө дээр ижил сертификатыг татгалзаж болно, учир нь идентификаторын талбар өөр утгаар дүүрдэг.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Дараа нь криптографийн огтлолцлыг сонгоорой
Дэмжигдсэн клиент бүрийн санал болгож чадах хувилбаруудыг харьцуулж, гарц мөн зөвшөөрдөг орчин үеийн огтлолцлыг сонгоорой. Нэг хуучин төхөөрөмж холбогдохын тулд хэт том хуучин жагсаалтыг идэвхжүүлэхгүй байгаарай, учир нь тэр жагсаалт дараагийн бүх хүнд гарцын өгөгдмөл болдог. Хуучин сонголт бүр яагаад байгааг бичиж үлдээгээрэй. Хэрэв хэнд хэрэгтэй төхөөрөмжийг хэн ч нэрлэж чадахгүй бол энэ нь шаардлага биш.
Төлөвлөгөөнд IKE болон CHILD тохиргоог тусдаа байлгаарай. IKE солилцоонд хүлээн зөвшөөрөгдөх санал хамгаалагдсан урсгалд автоматаар хүлээн зөвшөөрөгдөхгүй бөгөөд хоёрыг тус тусад нь хэлэлцдэг. Нэг давхаргад саналыг хүлээн авдаг гарц нөгөө давхаргад түүнийг татгалзаж болох бөгөөд лог эхний давхарга амжилттай болсон мэт харагдах алдааг харуулна.
Итгэмжлэлүүдийг баталгаажсан процессоор хангаж, хэрэглэгчийн нууц үг, хуваалцсан нууц, клиентийн хувийн түлхүүрийг тус тусын талбарт байлгаарай. Ижил нэртэй хайрцаг дээр туршиж, алдаа гаргах нь ажиллаж буй туршилтыг давтагдашгүй туршилт болгох зам юм.
Тогтвортой төлөвийг биш, амьдралын мөчлөгийг туршаарай
Клиент бүрийн хувьд анхны баталгаажуулалт, зорилтот програм, DNS шийдвэрлэлт, хаягийн гэр бүлийн хамрах хүрээг туршаарай. Дараа нь зөвхөн хожим илэрдэг хэсгүүдийг дасгалжуулаарай: шинэчлэлт, унтах, ердийн сүлжээний өөрчлөлт.
MOBIKE дэмжлэг болон дахин баталгаажуулалтын зан төлөв саяхан хэмжсэн тогтвортой үр дүнгээс ялгаатай байж болно. Тэр мөчийн үйл явдал болон холбооны төлөвийг бүртгээрэй, интерфейс эцэст нь холбогдсон мэт харагдаж байгаа эсэхийг л биш.
VPN боломжгүй үед шууд урсгал юу хийж болохыг тодорхойлоорой. Энэ нь клиент дахин холбогдох эсэхээс тусдаа бодлогын шийдвэр бөгөөд ихэнх байршуулалт эхний асуултыг үл тоомсорлож, хоёр дахь асуултад хариулдаг. Хариултыг профайлын нэрсийн хажууд байршуулалтын тэмдэглэлд бичээрэй. Тасалдалын үеэр хэн нэгэнд хэрэгтэй болох бөгөөд дахин бүтээх цаг гарахгүй.
Нэг платформ зөвшөөрөхгүй үед серверийн идентификатын шалгалтыг ашиглаарай
Профайл нэг платформ дээр ажиллаж, нөгөө нь түүний нэрийг татгалзах үед клиентийн бодитоор илгээсэн идентификаторыг сертификатын агуулж буй идентификаторуудтай харьцуулаарай. Энэ харьцуулалт эдгээр тохиолдлын ихэнхийг шифрийн жагсаалт солихоос хурдан шийддэг.
Туршсан матрицыг тохиргооны эх үүсвэр, шинэчлэх журамтай хамт хадгалаарай. Хуучин клиентийн дэмжлэг дуусахад дараагийн аудит олохын тулд гарцад сул нийцтэй байдлын тохиргоог нуун үлдээхийн оронд түүний үл хамаарах зүйлийг санаатайгаар устгаарай. strongSwan-ы IKEv2 баримт бичиг солилцоог хэрхэн тохируулдаг тухай ашигтай лавлагаа юм.