Ippjana settings tal-IKEv2 adattati għal aktar minn klijent wieħed

Profil li jaħdem fuq desktop wieħed huwa test ta' suċċess ta' klijent wieħed. Mhux skjerament bejn pjattaformi, u jekk jiġi trattat hekk joħroġ il-mudell ta' appoġġ magħruf: Windows jikkonnettja, il-telefon ifalli fil-verifika tal-identità, u l-laptop immexxi jerġa' jikkonnettja kull darba li jqum. Id-differenzi huma reali u l-aktar parti mbassra, għalhekk il-pjan għandu jkun matriċi u mhux screenshot.

L-ewwel iddeċiedi l-kuntratt tal-identità

Iddokumenta l-identità tas-server, il-fiduċja fiċ-ċertifikat u l-metodu ta' awtentikazzjoni tal-klijent qabel ma tiddiskuti l-algoritmi. Dawn it-tlieta jiddeċiedu jekk klijent jistax jawtentika xejn, u huma l-partijiet li l-pjattaformi jesprimu b'mod differenti.

Iċċekkja kif kull pjattaforma ssemmi l-identifikatur mistenni u kif tittratta ismijiet alternattivi tas-suġġett. Profil li jaċċetta isem ta' server fuq klijent wieħed jista' jirrifjuta l-istess ċertifikat fuq ieħor, għax il-qasam tal-identifikatur jimtela minn valur differenti.

Imbagħad agħżel l-intersezzjoni kriptografika

Qabbel il-proposti li kull klijent appoġġjat jista' joffri u agħżel intersezzjoni moderna li l-gateway jippermetti wkoll. Tattivax lista antika kbira wisq biex jikkonnettja apparat antik wieħed, għax dik il-lista ssir il-default tal-gateway għal kulħadd li jiġi wara. Ikteb għaliex kull għażla antika għadha hemm. Jekk ħadd ma jista' jsemmi l-apparat li jeħtieġha, mhuwiex rekwiżit.

Żomm is-settings tal-IKE u CHILD separati fil-pjan. Proposta aċċettabbli għall-iskambju IKE mhijiex awtomatikament aċċettabbli għat-traffiku protett, u t-tnejn jiġu nnegozjati separatament. Gateway li jaċċetta proposta f'saff wieħed xorta jista' jirrifjutaha f'saff ieħor, u l-log ser juri falliment li jidher qisu l-ewwel saff irnexxa.

Ipprovdi l-kredenzjali permezz ta' proċess ivverifikat, u żomm password tal-utent, sigriet maqsum u ċavetta privata tal-klijent fl-oqsma tagħhom. Il-prova u l-iżball fuq kaxxi b'ismijiet simili hija l-mod kif test li jaħdem isir wieħed li ma jistax jiġi riprodott.

Ittestja ċ-ċiklu tal-ħajja, mhux l-istat stabbli

Għal kull klijent, ittestja l-awtentikazzjoni inizjali, l-applikazzjoni maħsuba, is-soluzzjoni tad-DNS u l-kopertura tal-familji tal-indirizzi. Imbagħad ipprattika l-partijiet li jidhru biss aktar tard: tiġdid, rqad u bidla normali tan-netwerk.

L-appoġġ tal-MOBIKE u l-imġiba tal-awtentikazzjoni mill-ġdid jistgħu jvarjaw mir-riżultat stabbli li għadek kemm kejjejt. Irreġistra l-avveniment u l-istat tal-assoċjazzjoni dak il-ħin, mhux biss jekk l-interface fl-aħħar tidhirx konnessa.

Iddefinixxi x'jista' jagħmel it-traffiku dirett waqt li l-VPN mhijiex disponibbli. Din hija deċiżjoni ta' politika separata mill-jekk il-klijent jerġax jikkonnettja, u l-biċċa l-kbira tal-iskjeramenti jwieġbu t-tieni mistoqsija filwaqt li jinjoraw l-ewwel waħda. Ikteb it-tweġiba fin-noti tal-iskjerament ħdejn l-ismijiet tal-profili. Xi ħadd ser ikollu bżonnha waqt interruzzjoni, u mhux ser ikollu żmien biex jerġa' jibniha.

Uża verifiki tal-identità tas-server meta pjattaforma waħda ma taqbilx

Meta profil jaħdem fuq pjattaforma waħda u oħra tirrifjuta ismu, qabbel l-identifikatur li l-klijent fil-fatt bagħat mal-identifikaturi li ġġorr iċ-ċertifikat. Dan il-paragun issolvi l-biċċa l-kbira ta' dawn il-każijiet malajr milli tbiddel il-listi taċ-ċifrar.

Żomm il-matriċi ttestjata mas-sors tal-konfigurazzjoni u l-proċedura tal-aġġornament. Meta jispiċċa l-appoġġ għal klijent antik, neħħi l-eċċezzjoni tiegħu b'mod deliberat minflok ma tħalli settings ta' kompatibilità aktar dgħajfa moħbija fil-gateway biex isibhom l-awditjar li jmiss. Id-dokumentazzjoni tal-IKEv2 ta' strongSwan hija referenza utli dwar kif jiġu kkonfigurati l-iskambji.