วางแผนการตั้งค่า IKEv2 ที่เหมาะกับไคลเอนต์มากกว่าหนึ่งเครื่อง
โปรไฟล์เดสก์ท็อปที่ใช้งานได้ผ่านการทดสอบไคลเอนต์เพียงเครื่องเดียว ตกลงสัญญาระบุตัวตน เลือกจุดตัดที่รองรับ แล้วทดสอบการต่ออายุและการพักเครื่องในแต่ละแพลตฟอร์ม
โปรไฟล์ที่ใช้งานได้บนเดสก์ท็อปหนึ่งเครื่องคือการทดสอบที่ประสบความสำเร็จของไคลเอนต์หนึ่งเครื่อง มันไม่ใช่การติดตั้งใช้งานข้ามแพลตฟอร์ม และการมองเช่นนั้นจะสร้างรูปแบบการสนับสนุนที่คุ้นเคย: Windows เชื่อมต่อได้ โทรศัพท์ล้มเหลวในการตรวจสอบตัวตน และแล็ปท็อปที่จัดการอยู่จะเชื่อมต่อใหม่ทุกครั้งที่ตื่นขึ้น ความแตกต่างเป็นเรื่องจริงและคาดเดาได้เป็นส่วนใหญ่ ดังนั้นแผนจึงควรเป็นเมทริกซ์ไม่ใช่ภาพหน้าจอ
กำหนดสัญญาระบุตัวตนก่อน
จัดทำเอกสารระบุตัวตนของเซิร์ฟเวอร์ ความไว้วางใจในใบรับรอง และวิธีการพิสูจน์ตัวตนของไคลเอนต์ก่อนพูดถึงอัลกอริทึม สามสิ่งนี้กำหนดว่าไคลเอนต์จะพิสูจน์ตัวตนได้หรือไม่ และเป็นส่วนที่แพลตฟอร์มแสดงออกแตกต่างกัน
ตรวจสอบว่าแต่ละแพลตฟอร์มตั้งชื่อตัวระบุที่คาดหวังอย่างไร และจัดการชื่อทางเลือกของหัวข้ออย่างไร โปรไฟล์ที่ยอมรับชื่อเซิร์ฟเวอร์บนไคลเอนต์หนึ่งอาจปฏิเสธใบรับรองเดียวกันบนอีกเครื่อง เพราะฟิลด์ตัวระบุถูกเติมจากค่าที่แตกต่างกัน
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
จากนั้นเลือกจุดตัดทางการเข้ารหัส
เปรียบเทียบข้อเสนอที่ไคลเอนต์ที่รองรับแต่ละตัวสามารถเสนอได้ และเลือกจุดตัดที่ทันสมัยซึ่งเกตเวย์อนุญาตด้วย อย่าเปิดใช้รายการเก่าที่ใหญ่เกินไปเพียงเพื่อให้อุปกรณ์เก่าหนึ่งเครื่องเชื่อมต่อได้ เพราะรายการนั้นจะกลายเป็นค่าเริ่มต้นของเกตเวย์สำหรับทุกคนที่ตามมา เขียนเหตุผลว่าทำไมตัวเลือกเก่าแต่ละรายการยังอยู่ หากไม่มีใครระบุอุปกรณ์ที่ต้องการได้ มันก็ไม่ใช่ข้อกำหนด
แยกการตั้งค่า IKE และ CHILD ออกจากกันในแผน ข้อเสนอที่ยอมรับได้สำหรับการแลกเปลี่ยน IKE ไม่ได้ยอมรับได้โดยอัตโนมัติสำหรับทราฟฟิกที่ป้องกัน และทั้งสองถูกเจรจาแยกกัน เกตเวย์ที่ยอมรับข้อเสนอในชั้นหนึ่งยังอาจปฏิเสธในอีกชั้นหนึ่ง และบันทึกจะแสดงความล้มเหลวที่ดูเหมือนชั้นแรกสำเร็จ
จัดหาข้อมูลรับรองผ่านกระบวนการที่ตรวจสอบแล้ว และเก็บรหัสผ่านผู้ใช้ ความลับที่ใช้ร่วมกัน และคีย์ส่วนตัวของไคลเอนต์ไว้ในฟิลด์ของตัวเอง การลองผิดลองถูกบนกล่องที่ชื่อคล้ายกันคือหนทางที่ทำให้การทดสอบที่ใช้งานได้กลายเป็นการทดสอบที่ไม่สามารถทำซ้ำได้
ทดสอบวงจรชีวิต ไม่ใช่สภาวะคงที่
สำหรับไคลเอนต์แต่ละตัว ทดสอบการพิสูจน์ตัวตนเริ่มต้น แอปพลิเคชันที่ตั้งใจ การแก้ไข DNS และความครอบคลุมของตระกูลที่อยู่ จากนั้นฝึกฝนส่วนที่ปรากฏเฉพาะภายหลัง: การต่ออายุ การพักเครื่อง และการเปลี่ยนแปลงเครือข่ายปกติ
การรองรับ MOBIKE และพฤติกรรมการพิสูจน์ตัวตนซ้ำอาจแตกต่างจากผลลัพธ์คงที่ที่เพิ่งวัด บันทึกเหตุการณ์และสถานะของความเชื่อมโยง ณ เวลานั้น ไม่ใช่เพียงว่าอินเทอร์เฟซดูเชื่อมต่อในที่สุดหรือไม่
กำหนดว่าทราฟฟิกโดยตรงทำอะไรได้บ้างในขณะที่ VPN ไม่พร้อมใช้งาน นี่เป็นการตัดสินใจเชิงนโยบายที่แยกจากคำถามว่าไคลเอนต์จะเชื่อมต่อใหม่หรือไม่ และการติดตั้งใช้งานส่วนใหญ่ตอบคำถามที่สองโดยไม่สนใจคำถามแรก เขียนคำตอบลงในบันทึกการติดตั้งใช้งานข้างชื่อโปรไฟล์ ใครบางคนจะต้องใช้มันระหว่างการหยุดชะงัก และจะไม่มีเวลาสร้างมันใหม่
ใช้การตรวจสอบตัวตนของเซิร์ฟเวอร์เมื่อแพลตฟอร์มหนึ่งไม่เห็นด้วย
เมื่อโปรไฟล์ทำงานบนแพลตฟอร์มหนึ่งและอีกแพลตฟอร์มปฏิเสธชื่อของมัน ให้เปรียบเทียบตัวระบุที่ไคลเอนต์ส่งจริงกับตัวระบุที่ใบรับรองมีอยู่ การเปรียบเทียบนี้แก้ปัญหาเหล่านี้ส่วนใหญ่ได้เร็วกว่าการเปลี่ยนรายการรหัสลับ
เก็บเมทริกซ์ที่ทดสอบแล้วไว้พร้อมแหล่งการกำหนดค่าและขั้นตอนการอัปเดต เมื่อการสนับสนุนไคลเอนต์เก่าสิ้นสุดลง ให้ลบข้อยกเว้นของมันอย่างตั้งใจแทนที่จะปล่อยให้การตั้งค่าความเข้ากันได้ที่อ่อนแอกว่าซ่อนอยู่ในเกตเวย์ให้การตรวจสอบครั้งต่อไปค้นพบ เอกสาร IKEv2 ของ strongSwanเป็นแหล่งอ้างอิงที่มีประโยชน์เกี่ยวกับวิธีการกำหนดค่าการแลกเปลี่ยน