Načrtujte nastavitve IKEv2, ki ustrezajo več kot enemu odjemalcu
Delujoč namizni profil je preizkusil enega odjemalca. Dogovorite se o pogodbi o identiteti, izberite podprt presek in nato preizkusite obnovitev in spanje za vsako platformo.
Delujoč profil na enem namizju je uspešen preizkus enega odjemalca. To ni uvajanje med platformami, in če ga obravnavate tako, nastane znan vzorec podpore: Windows se poveže, telefon ne uspe pri preverjanju identitete, upravljani prenosnik pa se ob vsakem prebujanju znova poveže. Razlike so resnične in večinoma predvidljive, zato naj bo načrt matrika in ne posnetek zaslona.
Najprej določite pogodbo o identiteti
Preden razpravljate o algoritmih, dokumentirajte identiteto strežnika, zaupanje v potrdilo in metodo preverjanja pristnosti odjemalca. Ti trije določajo, ali se odjemalec sploh lahko preveri, in prav te dele platforme izražajo drugače.
Preverite, kako vsaka platforma poimenuje pričakovani identifikator in kako obravnava alternativna imena subjekta. Profil, ki na enem odjemalcu sprejme ime strežnika, lahko na drugem zavrne isto potrdilo, ker se polje identifikatorja napolni z drugo vrednostjo.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Nato izberite kriptografski presek
Primerjajte predloge, ki jih lahko ponudi vsak podprt odjemalec, in izberite sodoben presek, ki ga dovoljuje tudi prehod. Ne omogočite pretirano velikega starega seznama, da bi se povezala ena stara naprava, ker ta seznam postane privzeta nastavitev prehoda za vse naslednje. Zapišite, zakaj je vsaka stara možnost še vedno tam. Če nihče ne more poimenovati naprave, ki jo potrebuje, to ni zahteva.
V načrtu imejte nastavitve IKE in CHILD ločene. Predlog, sprejemljiv za izmenjavo IKE, ni samodejno sprejemljiv za zaščiten promet, in oba se dogovarjata ločeno. Prehod, ki predlog sprejme na enem sloju, ga lahko na drugem še vedno zavrne, in dnevnik bo pokazal napako, ki izgleda, kot da je prvi sloj uspel.
Zagotovite poverilnice s preverjenim postopkom in hranite uporabniško geslo, skupno skrivnost in zasebni ključ odjemalca v njihovih lastnih poljih. Poskusi in napake na podobno poimenovanih škatlah so pot, po kateri delujoč preizkus postane neponovljiv.
Preizkusite življenjski cikel, ne stabilnega stanja
Za vsakega odjemalca preizkusite začetno preverjanje pristnosti, predvideno aplikacijo, razreševanje DNS in pokritost družin naslovov. Nato vadite dele, ki se pojavijo šele pozneje: obnovitev, spanje in običajno spremembo omrežja.
Podpora za MOBIKE in vedenje pri ponovnem preverjanju pristnosti se lahko razlikujeta od pravkar izmerjenega stabilnega rezultata. Zabeležite dogodek in stanje povezave v tistem trenutku, ne le, ali je vmesnik na koncu videti povezan.
Določite, kaj sme neposredni promet početi, medtem ko VPN ni na voljo. To je odločitev o politiki, ločena od tega, ali se odjemalec znova poveže, in večina uvajanj odgovori na drugo vprašanje, prvo pa ignorira. Odgovor zapišite v opombe uvajanja ob imenih profilov. Nekdo ga bo potreboval med izpadom in ne bo imel časa, da bi ga obnovil.
Uporabite preverjanja identitete strežnika, ko se ena platforma ne strinja
Ko profil deluje na eni platformi, druga pa zavrne njegovo ime, primerjajte identifikator, ki ga je odjemalec dejansko poslal, z identifikatorji, ki jih nosi potrdilo. Ta primerjava reši večino teh primerov hitreje kot spreminjanje seznamov šifer.
Preizkušeno matriko hranite skupaj z virom konfiguracije in postopkom posodabljanja. Ko se podpora za stari odjemalec konča, izjemo namerno odstranite, namesto da bi šibkejše nastavitve združljivosti pustili skrite v prehodu za naslednjo revizijo. Dokumentacija strongSwan o IKEv2 je koristen vir o tem, kako se izmenjave konfigurirajo.