Naplánujte nastavenia IKEv2 pre viac ako jedného klienta
Funkčný profil na jednom počítači je úspešným testom jedného klienta. Dohodnite zmluvu o identite, vyberte podporovaný prienik a potom otestujte obnovu a spánok pre každú platformu.
Funkčný profil na jednej pracovnej ploche je úspešným testom jedného klienta. Nie je to multiplatformové nasadenie, a ak sa tak berie, vzniká známy vzorec podpory: Windows sa pripojí, telefón zlyhá pri kontrole identity a spravovaný notebook sa znova pripája pri každom prebudení. Rozdiely sú skutočné a z väčšej časti predvídateľné, preto má byť plán maticou, nie snímkou obrazovky.
Najprv určte zmluvu o identite
Zdokumentujte identitu servera, dôveru v certifikát a metódu autentizácie klienta skôr, než začnete hovoriť o algoritmoch. Tieto tri rozhodujú, či sa klient vôbec môže autentizovať, a práve ich platformy vyjadrujú rôzne.
Skontrolujte, ako každá platforma pomenúva očakávaný identifikátor a ako zaobchádza s alternatívnymi menami subjektu. Profil, ktorý na jednom klientovi prijme názov servera, môže na inom odmietnuť ten istý certifikát, pretože pole identifikátora sa napĺňa inou hodnotou.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Potom zvoľte kryptografický prienik
Porovnajte ponuky, ktoré môže poskytnúť každý podporovaný klient, a vyberte moderný prienik, ktorý povoľuje aj brána. Nezapínajte prehnane veľký starý zoznam, aby sa pripojilo jedno staré zariadenie, pretože tento zoznam sa stane predvoleným nastavením brány pre všetkých ďalších. Zapíšte, prečo každá stará možnosť stále existuje. Ak nikto nedokáže pomenovať zariadenie, ktoré ju potrebuje, nie je to požiadavka.
V pláne držte nastavenia IKE a CHILD oddelene. Ponuka prijateľná pre výmenu IKE nie je automaticky prijateľná pre chránenú prevádzku a obe sa dohadujú samostatne. Brána, ktorá ponuku prijme v jednej vrstve, ju môže v inej stále odmietnuť, a protokol ukáže zlyhanie, ktoré vyzerá, akoby prvá vrstva uspela.
Zabezpečte prihlasovacie údaje overeným postupom a držte používateľské heslo, zdieľané tajomstvo a súkromný kľúč klienta vo vlastných poliach. Pokusy a omyly na podobne pomenovaných boxoch sú spôsob, akým sa z funkčného testu stane neopakovateľný.
Testujte životný cyklus, nie stabilný stav
Pre každého klienta otestujte počiatočnú autentizáciu, zamýšľanú aplikáciu, preklad DNS a pokrytie rodín adries. Potom precvičte časti, ktoré sa objavia až neskôr: obnovu, spánok a bežnú zmenu siete.
Podpora MOBIKE a správanie pri opätovnej autentizácii sa môžu líšiť od stabilného výsledku, ktorý ste práve zmerali. Zaznamenajte udalosť a stav asociácie v danom okamihu, nie len to, či rozhranie nakoniec vyzerá pripojené.
Definujte, čo smie priamy prenos robiť, kým je VPN nedostupná. Je to politické rozhodnutie oddelené od toho, či sa klient znova pripojí, a väčšina nasadení odpovedá na druhú otázku, zatiaľ čo prvú ignoruje. Napíšte odpoveď do poznámok k nasadeniu vedľa názvov profilov. Niekto ju bude počas výpadku potrebovať a nebude mať čas ju rekonštruovať.
Použite kontroly identity servera, keď jedna platforma nesúhlasí
Keď profil funguje na jednej platforme a iná odmietne jeho názov, porovnajte identifikátor, ktorý klient skutočne odoslal, s identifikátormi, ktoré nesie certifikát. Toto porovnanie vyrieši väčšinu týchto prípadov rýchlejšie než zmena zoznamov šifier.
Uchovávajte otestovanú maticu spolu so zdrojom konfigurácie a postupom aktualizácie. Keď sa podpora starého klienta skončí, jeho výnimku zámerne odstráňte, namiesto toho aby ste nechali slabšie nastavenia kompatibility skryté v bráne pre ďalší audit. Dokumentácia strongSwan k IKEv2 je užitočný odkaz na to, ako sa výmeny konfigurujú.