你好
>>>我们是一个小组织，我们最多只需要大约10个人需要VPN，这仍然不实用，我们仍然>>>需要做一个内部CA服务器
1. 那要看情况而定。如果您在为 VPN 服务器和 10 vpn 客户购买单独的证书时没有成本/预算/费用问题，则您可以继续从商业 CA 购买证书，并在 RV340 和 10 个客户中安装这些证书
2. 但无论哪种方式（从商业 CA 采购，还是通过在内部机器上安装自己的内部 CA 创建自己的证书），您都必须记住以下一件事：
- 对于 VPN 服务器 （RV34X） 上的证书，确保
a） "共同名称/CN"fieild 值设置为 vpn 服务器的 FQDN/DNS 名称，如您注册的 dns 域名（如假设其"example.com"），如 vpnservergw.example.com 或 rv34x.example.com 或者如果您使用 dyns-dns 服务器，则可以 rv34x.dyndns.org 或 vpnservergw.dyndns.org
b） 证书中 CN/通用名称中的相同 FQDN 也应设置为"主题 Alt 名称"：
DNS：rv34x.示例.com
或
DNS：弗彭服务器.示例.com
或
DNS：rv34x.丁登斯.org
- 对于 10 个客户证书，请确保每个客户证书在客户端证书中以电子邮件 ID 形式（如下所示）中的主题 alt 字段具有个人/单独值（假设您正在使用注册的域名"example.com"
对于客户端 1 证书，应设置主题 alt 名称作为示例 ：client1@example.com
对于客户端 2 证书，应设置主题 alt 名称作为示例 ：client2@example.com
对于客户端 3 证书，应设置主题 alt 名称为示例 ：client3@example.com
....等等
>>>>你回答让我意识到我们可能没有做出正确的决定。 在我们的例子中， Psk 会像证书一样安全吗？ 在我的>>>介于证书的巨大优势是，我们可以过期/无效的认证通过CA，但如果只有10个我们，只有1个网站，我>>>可以很容易地取消或更改PSK。 你觉得怎么样。
确定您应该了解的信息，参考IKEv2-VPN服务器为IKEv2-VPN-客户是：
可能有不同的方法可以配置/设置，但根据标准的基本配置，有 3 种方法来配置/使用 IKEv2-vpn 服务器为 vpn 客户端
1. 使用 PSK 进行身份验证的 IKEv2 vpn 服务器
- 这里的 psk 认证是相互验证 vpn 服务器和 vpn 客户端作为 ipsec 对等，因此此隧道设置中没有涉及用户名/密码
- 只有绿弓和 MacOS/iOS IKEv2 客户支持此方法
- 本地 Windows-IKev2 客户端不支持基于 PSK 的 ikev2-auth（它仅支持仅限证书和 EAP-mschapv2，带有用户名/密码，以及 EAP-TLS）
2. IKEv2 VPN 服务器使用证书进行 ike 认证
a） 这里也只使用 certficate 在 vpn 服务器和客户端上进行 IPsec 对等（服务器和客户端）的相互认证
- 并且没有使用用户名/密码进行扩展身份验证
- 原生 Windows-IKEv2 客户端支持此（您必须选择客户端配置部分中的"机器证书"无线电按钮）
- 绿弓和 MacOS/iOS 客户也支持这一点
- 在这种情况下，服务器和客户端都需要有自己的单独证书，用于对同行进行相互 IKEv2 认证
b） 那么，如何使用证书完成每个客户端类型的ikev2认证呢？
在 Windows 上原生 IKEv2 客户端
----------------------------
- 至于本地 Windows-ikev2-客户端，没有配置来设置/选择客户端证书中的标的 - alt 名称值。
- 因此，Windows 第一服务器将发送其服务器证书，该证书将使用较早导入到客户端的服务器证书的 Root-CA 证书在窗口客户端上进行验证/验证。接下来，Windows 客户端本身只需将客户端证书的主题字段（称为 DN 字段或简称为 ASN1DN）发送到 vpn-服务器，该服务器将使用已签署客户端证书的 rootCA 证书在 vpn-服务器上进行验证和验证
在绿弓客户端
-------------------
- 对于此客户端，最好在其客户证书中将 U-FQDN 值用作本地 ID
- 因此，首先它将使用签署服务器证书的 Root-CA 证书对服务器证书进行身份验证
- 接下来，GB 客户端将将其证书发送到服务器，根据配置，vpn-服务器将使用客户端证书的主题字段，或者检查客户端证书中的 U-FQDN 值（clientX@example.com）的主题，并匹配在 vpn-服务器上配置的远程标识符值
关于 MacOS 客户端
---------------
- 在这里，我们将在此 macOS 上安装的客户证书的主题 alt 名称字段中配置 UFQDN 值
- 此值将在 macOS 客户端中配置为本地 ID
- vpn-server 证书使用 RootCA 证书在 mac 客户端上进行身份验证的过程，以及根据服务器上设置的远程 ID 字段的价值对客户端进行身份验证的过程。所需/相关 ID 在客户证书的主题 alt 名称字段中检查
3. 使用 EAP 方法的 IKEv2 VPN 服务器（如带用户名/密码的 EAP-mschapv2）
- 在这种情况下，vpn-服务器将使用发送给客户端的服务器证书进行身份验证（使用您在客户端本身导入的 RootCA 证书在客户端上验证）
- 在客户端上，没有安装任何证书。
- 客户将使用 EAP 进行身份验证（在这种情况下，它将是 EAP-Mschapv2，使用客户端配置的用户名通行证）
