لماذا لا يحتوي IKEv2 الأصلي في Windows على حقل PSK إطلاقًا

تقول وثائق البوابة إن المفتاح المشترك مسبقًا يوضع في العميل، لكن ملف تعريف Windows لا يحتوي على حقل له. هذه الفجوة ليست خطأً يُلتف عليه بكتابة المفتاح في مربع كلمة المرور. إنها الفرق بين ما يستطيعه بروتوكول وما يقدمه تطبيق معين.

قدرة البروتوكول ليست دعم العميل

تتضمن مواصفات IKEv2 مصادقة المفتاح المشترك، لذا يمكن تهيئة بوابة لها بشكل مشروع. أما ملف تعريف الوصول عن بعد الأصلي في Windows فيوثّق ترتيبات الشهادات وEAP بدلًا من ذلك، وقدرة البروتوكول لا تنشئ حقلًا أو معاملًا أو قيمة في السجل لم يملكها العميل قط.

غالبًا ما ينتهي الناس عند مرجع PowerShell لإضافة اتصال VPN، وهو يعرض L2tpPsk لترتيب L2TP. هذا المعامل ينتمي إلى L2TP وليس سرًا عامًا لـ IKEv2. إعدادات اختيار الخوارزمية تختار معاملات الحماية، وهذا شيء ثالث غير مرتبط. دور التوجيه في Windows Server ليس الكائن نفسه أيضًا. قد تتوفر في واجهة الخادم عناصر تحكم لا يملكها ملف تعريف عميل سطح المكتب، ونسخ إعداد خادم إلى ملف تعريف محطة عمل لا يعيد إنتاج القدرة.

اختر بين الشهادة أو EAP أو L2TP

إذا قبل مشغّل البوابة مصادقة الشهادة، فهذا عادةً الوجهة الأنظف: يقدم العميل شهادة، وتتحقق البوابة منها مقابل مُصدر موثوق، ولا يوجد سر مشترك في ملف تعريف يمكن نسخه. يتطلب ذلك التسجيل وسلسلة موثوقة وتهيئة بوابة تربط الشهادة بقرار تفويض.

EAP مع بيانات اعتماد مستخدم هو المسار المدعوم الآخر على هذا العميل، وهو ينقل القرار إلى مزود هوية. كما يقدم تبعياته الخاصة، لأن طريقة EAP وشهادة الخادم وثقة العميل بتلك الشهادة يجب أن تتفق جميعًا. الانتقال إلى L2TP/IPsec لمجرد الحصول على حقل مألوف يغيّر حزمة البروتوكول. هذا مقبول عندما يكون خيارًا مدعومًا بسبب موثّق، وهو نتيجة سيئة عندما يحدث لأن أحدهم كان يبحث عن مربع لكتابة مفتاح فيه.

تحقق مما سيقبله البوابة

اسأل المشغّل عن طرق المصادقة التي تقدمها خدمة الوصول عن بعد اليوم، لا عن الطرق التي يدعمها المنتج عمومًا. الخدمة المهيأة لـ IKEv2 بـ PSK فقط لن تقبل شهادة لأن العميل يفضّلها.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

اقرأ طريقة مصادقة ملف التعريف ومخزن الشهادات معًا. ملف تعريف مضبوط على EAP دون شهادة صالحة خلفه يفشل بطريقة تبدو كأنها مشكلة خادم.

إذا كان الجواب أن PSK فقط متاح، فالخيارات الصادقة هي عميل معتمد يدعمه أو تغيير في تصميم المصادقة لدى البوابة. لا أحد منهما حل محلي، والتظاهر بغير ذلك ينتج اتصالًا لا يستطيع إعادة إنتاجه إلا من هيّأه.

سجّل القرار والأسرار

دوّن الطريقة المختارة، ومرساة الثقة، والهوية المرتبطة بها، والشخص الذي أقرّ التغيير. هذا السجل هو ما تحتاجه مراجعة الحادث، وهو أيضًا ما يمنع المهندس التالي من إعادة اكتشاف الطريق المسدود نفسه.

أبقِ الأسرار منفصلة في ملاحظاتك: كلمة مرور حساب، وعبارة مرور لمفتاح خاص، ومفتاح مشترك مسبقًا لبوابة هي ثلاثة أشياء مختلفة، حتى عندما تصف شاشة إعداداتها كلها باسم كلمة مرور. الخلط بينها هو كيف ينتهي مفتاح في تذكرة. اختبر ملف التعريف الناتج باتصال جديد وطلب تطبيق واحد إلى مورد خاص. النفق الناجح دون خدمة يمكن الوصول إليها نتيجة جزئية، ولا ينبغي وصف ملف التعريف بأنه منتهٍ حتى يعمل المورد أيضًا.