Waarom inheemse Windows IKEv2 glad geen PSK-veld het nie

Die poortdokumentasie sê die vooraf gedeelde sleutel gaan in die kliënt, en die Windows-profiel het geen veld daarvoor nie. Daardie leemte is nie 'n fout wat 'n mens deur die sleutel in die wagwoordblok te tik, kan omseil nie. Dit is die verskil tussen wat 'n protokol kan doen en wat 'n bepaalde implementering bied.

Protokolvermoë is nie kliëntondersteuning nie

Die IKEv2-spesifikasie bevat gedeelde-sleutel-verifikasie, so 'n poort kan wettig daarvoor opgestel word. Die inheemse Windows-profiel vir afstandtoegang dokumenteer eerder sertifikaat- en EAP-reëlings, en protokolvermoë skep nie 'n veld, 'n parameter of 'n registerwaarde wat die kliënt nooit gehad het nie.

Die PowerShell-verwysing vir die byvoeg van 'n VPN-verbinding is waar mense gewoonlik beland, en dit bied L2tpPsk vir die L2TP-reëling. Daardie parameter hoort by L2TP en is nie 'n algemene IKEv2-geheim nie. Instellings vir algoritmeseleksie kies beskermingsparameters, wat 'n derde, onverwante ding is. 'n Rol vir roetering op Windows Server is ook nie dieselfde objek nie. 'n Bedienerkoppelvlak kan opstelkontroles hê wat 'n werksstasie-profiel nie het nie, en om 'n bedienerinstelling in 'n werkstasieprofiel te kopieer, reproduseer nie die vermoë nie.

Kies tussen sertifikaat, EAP of L2TP

As die poortoperateur sertifikaatverifikasie aanvaar, is dit gewoonlik die skoonste bestemming: die kliënt bied 'n sertifikaat aan, die poort valideer dit teen 'n vertroude uitreiker, en geen gedeelde geheim sit in 'n profiel vir iemand om te kopieer nie. Dit vereis registrasie, 'n vertroude ketting en 'n poortopstelling wat die sertifikaat aan 'n magtigingsbesluit koppel.

EAP met 'n gebruikersreferensiaal is die ander ondersteunde pad op hierdie kliënt, en dit skuif die besluit na 'n identiteitsverskaffer. Dit bring ook sy eie afhanklikhede mee, want die EAP-metode, die bediener-sertifikaat en die kliënt se vertroue in daardie sertifikaat moet almal ooreenstem. Om na L2TP/IPsec oor te skakel bloot om 'n bekende veld te kry, verander die protokolstapel. Dit is aanvaarbaar wanneer dit 'n ondersteunde keuse met 'n gedokumenteerde rede is, en dit is 'n slegte uitkoms wanneer dit gebeur omdat iemand na 'n blokkie gesoek het om 'n sleutel in te tik.

Kyk wat die poort sal aanvaar

Vra die operateur watter verifikasiemetodes die afstandtoegangdiens vandag bied, eerder as watter die produk in die algemeen ondersteun. 'n Diens wat vir PSK-only IKEv2 opgestel is, sal nie 'n sertifikaat aanvaar omdat die kliënt een verkies nie.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Lees die profiel se verifikasiemetode en die sertifikaatstoor saam. 'n Profiel wat op EAP gestel is sonder 'n bruikbare sertifikaat daarby, misluk op 'n manier wat soos 'n bedienerprobleem lyk.

As die antwoord is dat net PSK beskikbaar is, is die eerlike opsies 'n goedgekeurde kliënt wat dit ondersteun of 'n verandering aan die poort se verifikasieontwerp. Nie een is 'n plaaslike noodoplossing nie, en om anders voor te gee lewer 'n verbinding wat net die persoon wat dit opgestel het, kan reproduseer.

Teken die besluit en die geheime aan

Skryf die gekose metode neer, die vertrouensanker, die identiteit wat daaraan gekoppel is en die persoon wat die verandering goedgekeur het. Daardie rekord is wat 'n voorvalondersoek nodig het, en dit is ook wat die volgende ingenieur daarvan weerhou om dieselfde doodloopstraat te herontdek.

Hou die geheime apart in jou notas: 'n rekeningwagwoord, 'n privaatsleutel-wagfrase en 'n poort se vooraf gedeelde sleutel is drie verskillende dinge, selfs wanneer 'n instellingsskerm almal as wagwoord benoem. Om hulle te verwar, is hoe 'n sleutel in 'n kaartjie beland. Toets die resulterende profiel met 'n vars verbinding en een toepassingsversoek na 'n private hulpbron. 'n Suksesvolle tonnel sonder 'n bereikbare diens is 'n gedeeltelike resultaat, en die profiel moet nie as klaar beskryf word voordat die hulpbron ook werk nie.