Magplano ng mga setting ng IKEv2 na angkop sa higit sa isang kliyente
Isang gumaganang desktop profile ang sumubok ng isang kliyente. Pagkasunduan ang kontrata ng pagkakakilanlan, pumili ng sinusuportahang intersection, pagkatapos ay subukan ang pag-renew at pagtulog sa bawat platform.
Ang gumaganang profile sa isang desktop ay isang matagumpay na pagsubok ng isang kliyente. Hindi ito cross-platform na deployment, at ang pagtrato rito nang ganoon ay gumagawa ng pamilyar na pattern ng suporta: kumokonekta ang Windows, nabigo ang telepono sa pagsusuri ng pagkakakilanlan, at muling kumokonekta ang pinamamahalaang laptop sa tuwing magising ito. Totoong-totoo ang mga pagkakaiba at halos mahuhulaan, kaya dapat na matrix ang plano at hindi screenshot.
Unang magpasya sa kontrata ng pagkakakilanlan
Idokumento ang pagkakakilanlan ng server, ang pagtitiwala sa sertipiko at ang paraan ng pagpapatotoo ng kliyente bago pag-usapan ang mga algorithm. Ang tatlong ito ang nagpapasya kung makakapagpatotoo man ang isang kliyente, at ito ang mga bahaging iba ang pagpapahayag ng mga platform.
Tingnan kung paano pinangalanan ng bawat platform ang inaasahang identifier at kung paano nito hinahawakan ang mga alternatibong pangalan ng paksa. Ang profile na tumatanggap ng pangalan ng server sa isang kliyente ay maaaring tumanggi sa parehong sertipiko sa iba dahil ang field ng identifier ay pinupunan mula sa ibang halaga.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Pagkatapos ay piliin ang cryptographic intersection
Ihambing ang mga panukalang maaaring ialok ng bawat sinusuportahang kliyente at pumili ng modernong intersection na pinapayagan din ng gateway. Huwag paganahin ang sobrang laking lumang listahan para lamang makakonekta ang isang lumang device, dahil nagiging default ng gateway ang listahang iyon para sa lahat ng susunod. Isulat kung bakit naroon pa rin ang bawat lumang opsyon. Kung walang makapangalan sa device na nangangailangan nito, hindi ito kinakailangan.
Panatilihing hiwalay ang mga setting ng IKE at CHILD sa plano. Ang panukalang katanggap-tanggap para sa palitan ng IKE ay hindi awtomatikong katanggap-tanggap para sa protektadong trapiko, at ang dalawa ay hiwalay na pinag-uusapan. Ang gateway na tumatanggap ng panukala sa isang layer ay maaari pa ring tumanggi dito sa isa pa, at ang log ay magpapakita ng pagkabigo na mukhang nagtagumpay ang unang layer.
Maglaan ng mga kredensyal sa pamamagitan ng beripikadong proseso, at itago ang password ng user, shared secret at pribadong key ng kliyente sa kani-kanilang field. Ang pagsubok at pagkakamali sa magkatulad ang pangalang kahon ang daan kung saan nagiging hindi maulit ang isang gumaganang pagsubok.
Subukan ang lifecycle, hindi ang stable na estado
Para sa bawat kliyente, subukan ang paunang pagpapatotoo, ang nilalayong application, ang resolusyon ng DNS at ang saklaw ng mga pamilya ng address. Pagkatapos ay sanayin ang mga bahaging lumilitaw lamang sa huli: pag-renew, pagtulog at normal na pagbabago ng network.
Ang suporta sa MOBIKE at pag-uugali sa muling pagpapatotoo ay maaaring iba sa stable na resultang sinukat mo lang. Itala ang pangyayari at estado ng asosasyon sa oras na iyon, hindi lamang kung sa huli ay mukhang konektado ang interface.
Tukuyin kung ano ang maaaring gawin ng direktang trapiko habang hindi available ang VPN. Ito ay desisyon sa patakaran na hiwalay sa kung muling kumokonekta ang kliyente, at sinasagot ng karamihan ng deployment ang pangalawang tanong habang binabalewala ang una. Isulat ang sagot sa mga tala ng deployment sa tabi ng mga pangalan ng profile. May mangangailangan nito sa panahon ng pagkawala ng serbisyo, at wala siyang oras na muling buuin ito.
Gamitin ang mga pagsusuri ng pagkakakilanlan ng server kapag hindi sumasang-ayon ang isang platform
Kapag gumagana ang profile sa isang platform at tinatanggihan ng iba ang pangalan nito, ihambing ang identifier na aktwal na ipinadala ng kliyente sa mga identifier na dala ng sertipiko. Niresolba ng paghahambing na iyon ang karamihan ng mga kasong ito nang mas mabilis kaysa sa pagpapalit ng mga listahan ng cipher.
Itago ang nasubukang matrix kasama ang pinagmulan ng configuration at ang pamamaraan ng pag-update. Kapag natapos ang suporta para sa lumang kliyente, sadyang alisin ang exception nito sa halip na hayaang manatiling nakatago sa gateway ang mas mahinang compatibility settings para mahanap ng susunod na audit. Ang dokumentasyon ng strongSwan sa IKEv2 ay kapaki-pakinabang na sanggunian sa kung paano naka-configure ang mga palitan.