Rancang tetapan IKEv2 yang sesuai untuk lebih daripada satu klien
Profil desktop yang berfungsi telah menguji satu klien. Persetujui kontrak identiti, pilih persilangan yang disokong, kemudian uji pembaharuan dan tidur bagi setiap platform.
Profil yang berfungsi pada satu desktop ialah ujian berjaya bagi satu klien. Ia bukan penggunaan merentas platform, dan menganggapnya begitu menghasilkan corak sokongan yang biasa: Windows menyambung, telefon gagal pada pemeriksaan identiti, dan komputer riba terurus menyambung semula setiap kali ia bangun. Perbezaannya nyata dan sebahagian besarnya boleh diramal, sebab itu pelan haruslah matriks, bukan tangkapan skrin.
Tentukan kontrak identiti dahulu
Dokumenkan identiti pelayan, kepercayaan sijil dan kaedah pengesahan klien sebelum membincangkan algoritma. Ketiga-tiganya menentukan sama ada klien boleh mengesahkan sama sekali, dan bahagian inilah yang dinyatakan platform secara berbeza.
Semak bagaimana setiap platform menamakan pengecam yang dijangka dan bagaimana ia mengendalikan nama alternatif subjek. Profil yang menerima nama pelayan pada satu klien mungkin menolak sijil yang sama pada klien lain kerana medan pengecam diisi daripada nilai yang berbeza.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Kemudian pilih persilangan kriptografi
Bandingkan cadangan yang boleh ditawarkan oleh setiap klien yang disokong dan pilih persilangan moden yang juga dibenarkan oleh get laluan. Jangan aktifkan senarai lama yang terlalu besar supaya satu peranti lama dapat menyambung, kerana senarai itu menjadi lalai get laluan untuk semua yang menyusul. Catatkan mengapa setiap pilihan lama masih ada. Jika tiada siapa dapat menamakan peranti yang memerlukannya, ia bukan keperluan.
Asingkan tetapan IKE dan CHILD dalam pelan. Cadangan yang boleh diterima untuk pertukaran IKE tidak semestinya boleh diterima untuk trafik terlindung, dan kedua-duanya dirunding secara berasingan. Get laluan yang menerima cadangan pada satu lapisan masih boleh menolaknya pada lapisan lain, dan log akan menunjukkan kegagalan yang kelihatan seolah-olah lapisan pertama berjaya.
Sediakan kelayakan melalui proses yang disahkan, dan simpan kata laluan pengguna, rahsia dikongsi serta kunci peribadi klien dalam medan masing-masing. Cuba-cuba pada kotak yang bernama serupa ialah cara ujian yang berfungsi menjadi tidak boleh dihasilkan semula.
Uji kitaran hayat, bukan keadaan mantap
Bagi setiap klien, uji pengesahan awal, aplikasi yang dimaksudkan, penyelesaian DNS dan liputan keluarga alamat. Kemudian latih bahagian yang hanya muncul kemudian: pembaharuan, tidur dan perubahan rangkaian biasa.
Sokongan MOBIKE dan tingkah laku pengesahan semula mungkin berbeza daripada hasil mantap yang baru anda ukur. Rekodkan peristiwa dan keadaan persekutuan pada masa itu, bukan hanya sama ada antara muka akhirnya kelihatan bersambung.
Tetapkan apa yang boleh dilakukan oleh trafik langsung semasa VPN tidak tersedia. Itu keputusan dasar yang berasingan daripada sama ada klien menyambung semula, dan kebanyakan penggunaan menjawab soalan kedua sambil mengabaikan yang pertama. Tulis jawapannya dalam nota penggunaan di sebelah nama profil. Seseorang akan memerlukannya semasa gangguan, dan dia tidak akan mempunyai masa untuk membinanya semula.
Gunakan pemeriksaan identiti pelayan apabila satu platform tidak bersetuju
Apabila profil berfungsi pada satu platform dan platform lain menolak namanya, bandingkan pengecam yang benar-benar dihantar oleh klien dengan pengecam yang dibawa oleh sijil. Perbandingan itu menyelesaikan kebanyakan kes ini lebih cepat daripada menukar senarai sifer.
Simpan matriks yang diuji bersama sumber konfigurasi dan prosedur kemas kini. Apabila sokongan untuk klien lama tamat, buang pengecualiannya dengan sengaja dan bukannya membiarkan tetapan keserasian yang lebih lemah tersembunyi dalam get laluan untuk ditemui oleh audit seterusnya. Dokumentasi IKEv2 strongSwan ialah rujukan berguna tentang cara pertukaran dikonfigurasikan.