Lập kế hoạch cấu hình IKEv2 phù hợp với nhiều hơn một máy khách
Một cấu hình máy tính để bàn hoạt động mới chỉ kiểm tra một máy khách. Hãy thống nhất hợp đồng danh tính, chọn một giao điểm được hỗ trợ, rồi kiểm tra gia hạn và ngủ đông trên từng nền tảng.
Một cấu hình hoạt động trên một máy tính để bàn là một bài kiểm tra thành công của một máy khách. Đó không phải là triển khai đa nền tảng, và coi nó như vậy sẽ tạo ra mô hình hỗ trợ quen thuộc: Windows kết nối được, điện thoại thất bại ở bước kiểm tra danh tính, còn máy tính xách tay được quản lý kết nối lại mỗi khi thức dậy. Những khác biệt là có thật và phần lớn có thể dự đoán được, vì vậy kế hoạch nên là một ma trận chứ không phải ảnh chụp màn hình.
Trước hết hãy xác định hợp đồng danh tính
Ghi lại danh tính máy chủ, sự tin cậy vào chứng chỉ và phương thức xác thực máy khách trước khi bàn về thuật toán. Ba điều này quyết định máy khách có xác thực được hay không, và đây chính là những phần mà các nền tảng diễn đạt khác nhau.
Kiểm tra cách mỗi nền tảng đặt tên cho định danh mong đợi và cách xử lý tên thay thế của chủ thể. Một cấu hình chấp nhận tên máy chủ trên máy khách này có thể từ chối cùng chứng chỉ đó trên máy khác vì trường định danh được điền từ một giá trị khác.
| Contract element | What to decide | Where platforms diverge |
|---|---|---|
| Server identity | Name or address the client must see | Identifier field and SAN matching |
| Client authentication | Certificate, EAP method or both | Which EAP variants exist and how prompts appear |
| Trust anchor | Which CA and how it is delivered | Store location and provisioning path |
Sau đó chọn giao điểm mật mã
So sánh các đề xuất mà mỗi máy khách được hỗ trợ có thể đưa ra và chọn một giao điểm hiện đại mà cổng cũng cho phép. Đừng bật một danh sách cũ quá lớn chỉ để một thiết bị cũ kết nối được, vì danh sách đó trở thành mặc định của cổng cho tất cả những người đến sau. Hãy ghi lại lý do mỗi tùy chọn cũ vẫn còn. Nếu không ai có thể nêu tên thiết bị cần nó, thì đó không phải là yêu cầu.
Giữ cấu hình IKE và CHILD tách biệt trong kế hoạch. Một đề xuất chấp nhận được cho trao đổi IKE không tự động chấp nhận được cho lưu lượng được bảo vệ, và hai bên được thương lượng riêng. Một cổng chấp nhận đề xuất ở một lớp vẫn có thể từ chối ở lớp khác, và nhật ký sẽ hiển thị lỗi trông như thể lớp đầu tiên đã thành công.
Cung cấp thông tin xác thực thông qua một quy trình đã kiểm chứng và giữ mật khẩu người dùng, bí mật chia sẻ và khóa riêng của máy khách trong các trường riêng. Thử và sai trên những chiếc hộp có tên giống nhau là con đường khiến một bài kiểm tra hoạt động trở nên không thể tái lập.
Kiểm tra vòng đời, không phải trạng thái ổn định
Với mỗi máy khách, hãy kiểm tra xác thực ban đầu, ứng dụng dự định, phân giải DNS và phạm vi các họ địa chỉ. Sau đó luyện tập những phần chỉ xuất hiện muộn hơn: gia hạn, ngủ đông và một thay đổi mạng bình thường.
Hỗ trợ MOBIKE và hành vi xác thực lại có thể khác với kết quả ổn định bạn vừa đo. Ghi lại sự kiện và trạng thái liên kết tại thời điểm đó, chứ không chỉ việc giao diện cuối cùng có vẻ đã kết nối hay không.
Xác định lưu lượng trực tiếp được phép làm gì khi VPN không khả dụng. Đây là quyết định chính sách tách biệt với việc máy khách có kết nối lại hay không, và hầu hết các triển khai trả lời câu hỏi thứ hai trong khi bỏ qua câu hỏi thứ nhất. Viết câu trả lời vào ghi chú triển khai bên cạnh tên cấu hình. Ai đó sẽ cần nó trong lúc gián đoạn và sẽ không có thời gian dựng lại.
Dùng kiểm tra danh tính máy chủ khi một nền tảng không đồng ý
Khi một cấu hình hoạt động trên nền tảng này mà nền tảng khác từ chối tên của nó, hãy so sánh định danh mà máy khách thực sự gửi với các định danh mà chứng chỉ mang. Việc so sánh đó giải quyết phần lớn các trường hợp này nhanh hơn so với việc thay đổi danh sách mật mã.
Giữ ma trận đã kiểm tra cùng với nguồn cấu hình và quy trình cập nhật. Khi hỗ trợ cho một máy khách cũ kết thúc, hãy chủ động xóa ngoại lệ của nó thay vì để các cài đặt tương thích yếu hơn ẩn trong cổng cho lần kiểm toán tiếp theo tìm thấy. Tài liệu IKEv2 của strongSwan là tài liệu tham khảo hữu ích về cách cấu hình các trao đổi.