Niyə doğma Windows IKEv2-də ümumiyyətlə PSK sahəsi yoxdur

Şlüz sənədləri əvvəlcədən paylaşılan açarın müştəriyə yazıldığını deyir, Windows profilində isə bunun üçün sahə yoxdur. Bu boşluq açarı parol qutusuna yazmaqla aradan qaldırılacaq bir səhv deyil. Bu, protokolun nə edə biləcəyi ilə müəyyən bir tətbiqin nə təklif etdiyi arasındakı fərqdir.

Protokol imkanı müştəri dəstəyi deyil

IKEv2 spesifikasiyası paylaşılan açar autentifikasiyasını ehtiva edir, buna görə şlüz qanuni olaraq bunun üçün konfiqurasiya edilə bilər. Yerli Windows uzaq giriş profili isə bunun əvəzinə sertifikat və EAP quruluşlarını sənədləşdirir və protokol imkanı müştərinin heç vaxt malik olmadığı sahə, parametr və ya reyestr dəyəri yaratmır.

İnsanlar adətən VPN bağlantısı əlavə etmək üçün PowerShell arayışı səhifəsinə gəlir və orada L2TP quruluşu üçün L2tpPsk göstərilir. Bu parametr L2TP aid edir və ümumi IKEv2 sirri deyil. Alqoritm seçimi parametrləri qoruma parametrlərini seçir, bu isə üçüncü, əlaqəsiz bir şeydir. Windows Server marşrutlaşdırma rolu da eyni obyekt deyil. Server interfeysində masaüstü müştəri profilində olmayan konfiqurasiya nəzarətləri ola bilər və server parametrini iş stansiyası profilə köçürmək imkanı təkrar yaratmır.

Sertifikat, EAP və ya L2TP arasında seçin

Əgər şlüz operatoru sertifikat autentifikasiyasını qəbul edəcəksə, bu adətən ən təmiz hədəfdir: müştəri sertifikat təqdim edir, şlüz onu etibarlı emitentin yanında yoxlayır və profildə kopyalanacaq paylaşılan sirr qalmır. Bu, qeydiyyat, etibarlı zəncir və sertifikatı icazə qərarına bağlayan şlüz konfiqurasiyası tələb edir.

İstifadəçi etimadnaməsi ilə EAP bu müştəridə digər dəstəklənən yoldur və qərarı şəxsiyyət provayderinə keçirir. O, öz asılılıqlarını da gətirir, çünki EAP metodu, server sertifikatı və müştərinin həmin sertifikata etimadı hamısı uyğun olmalıdır. Yalnız tanış bir sahə əldə etmək üçün L2TP/IPsec-ə keçmək protokol yığınını dəyişir. Bu, sənədləşdirilmiş səbəbi olan dəstəklənən seçim olduqda məqbuldur, kimsə açar yazmaq üçün qutu axtardığı üçün baş verdikdə isə pis nəticədir.

Şlüzun nəyi qəbul edəcəyini yoxlayın

Operatora bu gün uzaq giriş xidmətinin hansı autentifikasiya metodlarını təklif etdiyini soruşun, məhsulun ümumiyyətlə hansıları dəstəklədiyini deyil. Yalnız PSK üçün konfiqurasiya edilmiş IKEv2 xidməti müştəri üstünlük verdiyi üçün sertifikat qəbul etməyəcək.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Profilin autentifikasiya metodunu və sertifikat anbarını birlikdə oxuyun. EAP-a qurulmuş, arxasında istifadə edilə bilən sertifikat olmayan profil server problemi kimi görünən şəkildə uğursuz olur.

Əgər cavab yalnız PSK-nın mövcud olduğudursa, dürüst seçimlər onu dəstəkləyən təsdiqlənmiş müştəri və ya şlüzün autentifikasiya dizaynının dəyişdirilməsidir. Heç biri yerli keçici həll deyil və əksini iddia etmək yalnız onu konfiqurasiya edən şəxsin təkrar yarada biləcəyi bir bağlantı yaradır.

Qərarı və sirləri qeyd edin

Seçilmiş metodu, etimad ankerini, ona uyğun gələn şəxsiyyəti və dəyişikliyi təsdiqləyən şəxsi yazın. Bu qeyd insident baxışının ehtiyac duyduğu şeydir və növbəti mühəndisin eyni ölü yolu yenidən tapmasının qarşısını alan da məhz budur.

Sirləri qeydlərinizdə ayrı saxlayın: hesab parolu, şəxsi açar ifadəsi və şlüzün əvvəlcədən paylaşılan açarı üç fərqli şeydir, hətta ayarlar ekranı hamısını parol adlandırsa da. Onları qarışdırmaq açarın bilete düşməsinin yoludur. Yaranan profili təzə bağlantı və şəxsi resursa bir tətbiq sorğusu ilə sınayın. Əlçatan xidmət olmadan uğurlu tunel qismən nəticədir və resurs da işləməyincə profil bitmiş adlandırılmamalıdır.