Windows IKEv2-pasgemaakte beleid: pas dit as ’n afsonderlike stap toe

’n Voorsieningspakket skep ’n IKEv2-verbinding, en die profiel wat daaruit ontstaan, onderhandel iets anders as die suite wat jy bedoel het. Die pakket het sy werk gedoen; dit het nooit ’n veld gehad vir die werk wat jy aangeneem het nie. Behandel die kriptografiese suite as ’n aparte, verifieerbare voorsieningsstap.

Werk die vyf items hieronder in volgorde deur, en hou die aanvaardingsresultate afsonderlik.

Twee soorte beleid agter soortgelyke name

Windows skei die beleid wat die sleuteluitruiling beskerm van die beleid wat die verkeer beskerm. Die IKE-kant word deur ’n enkripsiemetode en ’n integriteitsmetode ingestel. Die datakant word deur cipher- en authentication transform-konstantes ingestel, en daardie konstantes gebruik hul eie name. ’n Enkele AES-etiket wat in die verkeerde veld gekopieer word, lewer ’n verbinding wat onder ’n beleid opgestel word wat niemand goedgekeur het nie.

Sleuteluitruilgroep en perfect forward secrecy hoort by dieselfde onderhandeling en moet vir die gateway aanvaarbaar wees. Om dit in te stel sonder om die verre kant na te gaan, veroorsaak ’n fout in ’n later fase as dié wat jy gewysig het, en daarom lyk hierdie foute soos gateway-probleme.

Bou ’n volledige beleid, nie twee algoritmename nie

Skryf elke veld eksplisiet neer, ook dié wat jy as verstekke beskou. ’n Gedeeltelike beleid wat met ’n force-vlag toegepas word, word die gestoorde konfigurasie, en die waardes wat jy uitgelaat het, is wat die platform op daardie oomblik gehad het. Waardes met dieselfde voorvoegsel volg nie dieselfde reëls oor velde heen nie, en een van die bekende transform-name is slegs as ’n authentication transform geldig.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Behandel daardie blok as ’n voorbeeld-suite wat albei jou eweknieë moet ondersteun, nie as ’n aanbeveling nie. Die force-skakelaar onderdruk ’n vraag; dit keur nie ’n pakket goed wat jy nie nagegaan het nie.

Skep eers, pas dan toe, in een omvang

Die verbinding moet bestaan voordat sy beleid gestel kan word, en die omvang moet by elke stap ooreenstem. ’n Stap in masjienkonteks kan nie ’n willekeurige gebruiker se private profiel vind net omdat die vertoonnaam dieselfde is nie. All-user-verbindings, gebruikerverbindings en hul toestandgidse is aparte objekte met aparte name.

Volgorde maak meer saak as wat dit in ’n voorsieningspakket lyk, want twee opdragte kan nader aan mekaar loop as wat die verbinding neem om te skep. Verpak die na-konfigurasiewerk as ’n goedgekeurde voorsieningsopdrag met ’n verklaarde uitvoeringskonteks, en laat die voorsieningsenjin dit orden eerder as om ’n geraamde vertraging in te voeg. ’n Slaap wat lank genoeg is op jou toetshardeware, is ’n resiesvoorwaarde met ’n vertraging daaraan. Teken die afhanklikheid aan eerder as die duur.

Die gedokumenteerde Configuration Designer-velde beskryf ’n VPN-instelling, en hulle stel nie elke oorspronklike IPsec-beheer bloot nie. As die vereiste ’n bestuurde lewering is, het die VPNv2-konfigurasiediensverskaffer ’n afdeling vir kriptografiese suites juis vir hierdie doel.

Wys een enkele eienaar vir die beleid aan

’n Latere opdatering van die bestuursprofiel kan die verbinding herskep en vervang wat ’n script toegepas het, en die vervanging sal soos ’n agteruitgang lyk. Besluit of die suite deur die profiel, deur ’n script of deur die bestuurskanaal besit word, en laat roetine-opdaterings dieselfde pad volg as die eerste installasie.

Twee eienaars is dieselfde as geen eienaar wanneer die twee nie saamstem nie. Skryf die eienaar se naam in die profiel se veranderingsrekord. Die volgende opdatering sal volg wat daardie rekord sê.

Verifieer die onderhandelde resultaat, nie die pakket nie

Lees die gestoorde profiel en sy omvang, en stel dan ’n nuwe verbinding op en vergelyk die gekose voorstelle by die gateway. Bevestig ook die her-sleutelgedrag, want ’n aanvanklike handdruk kan slaag met ’n suite wat ’n latere fase weier.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Drie aanvaardingsresultate is nie dieselfde gebeurtenis nie: die pakket is geïnstalleer, die profiel bestaan met die bedoelde beleid, en die eweknieë het dit onderhandel. Hou hulle apart, sodat ’n ontbrekende veld nooit herstel word deur verifikasie te verswak of ’n terugval in te skakel wat niemand gekies het nie.