Windows IKEv2 xüsusi siyasəti: onu ayrı addım kimi tətbiq edin

Təminat paketi IKEv2 bağlantısı yaradır və nəticədə yaranan profil nəzərdə tutduğunuz dəstdən başqa bir şeylə razılaşır. Paket öz işini gördü; sadəcə sizin güman etdiyiniz iş üçün heç bir sahəsi yox idi. Kriptoqrafik dəsti ayrı və yoxlanıla bilən təminat addımı kimi qəbul edin.

Aşağıdakı beş bəndi ardıcıllıqla işləyin və qəbul nəticələrini bir-birindən ayrı saxlayın.

Oxşar adlar arxasında iki növ siyasət

Windows açar mübadiləsini qoruyan siyasəti trafiki qoruyan siyasətdən ayırır. IKE tərəfi şifrələmə metodu və bütövlük metodu ilə qurulur. Məlumat tərəfi isə şifr və autentifikasiya transformasiya sabitləri ilə qurulur və bu sabitlər öz adlarını istifadə edir. Səhv sahəyə köçürülmüş tək bir AES etiketi heç kimin təsdiqləmədiyi siyasət altında qurulan bağlantı yaradır.

Açar mübadiləsi qrupu və mükəmməl irəli gizlilik eyni razılaşmaya aiddir və şlüz üçün məqbul olmalıdır. Onları qarşı tərəfi yoxlamadan qurmaq, redaktə etdiyiniz mərhələdən daha sonrakı mərhələdə nasazlıq yaradır; buna görə bu səhvlər şlüz problemi kimi görünür.

Tam siyasət qurun, iki alqoritm adı deyil

Hər sahəni açıq şəkildə yazın, standart hesab etdiyiniz sahələr də daxil olmaqla. Məcbur etmə bayrağı ilə tətbiq edilən qismən siyasət yadda saxlanılan konfiqurasiyaya çevrilir və buraxdığınız dəyərlər platformanın həmin anda malik olduğu dəyərlərdir. Eyni prefikslə başlayan dəyərlər sahələr arasında bir-birini əvəz etmir və məşhur transformasiya adlarından biri yalnız autentifikasiya transformasiyası kimi etibarlıdır.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Bu bloku iki tərəfin də dəstəkləməli olduğu nümunəvi dəst kimi qəbul edin, tövsiyə kimi deyil. Məcbur etmə açarı sorğunu yatırır; nəzərdən keçirmədiyiniz paketi təsdiqləmir.

Əvvəlcə yaradın, sonra tətbiq edin — bir əhatə dairəsində

Siyasəti təyin etməzdən əvvəl bağlantı mövcud olmalıdır və əhatə dairəsi hər addımda uyğun gəlməlidir. Maşın kontekstindəki addım yalnız göstərilən ad eyni olduğuna görə ixtiyari istifadəçinin şəxsi profilini tapa bilməz. Bütün istifadəçi bağlantıları, istifadəçi bağlantıları və onların vəziyyət qovluqları ayrı adlara malik ayrı obyektlərdir.

Sıra təminat paketində göründüyündən daha vacibdir, çünki iki əmr bağlantının yaradılması üçün lazım olan vaxtdan daha yaxın işləyə bilər. Konfiqurasiyadan sonrakı işi elan edilmiş icra kontekstinə malik təsdiqlənmiş təminat əmri kimi paketləyin və təxmini gecikmə yeritmək əvəzinə onu təminat mühərrikinin sıralamasına buraxın. Test avadanlığınızda kifayət qədər uzun olan yuxu, gecikmə əlavə edilmiş yarış vəziyyətidir. Müddəti deyil, asılılığı qeyd edin.

Sənədləşdirilmiş Configuration Designer sahələri bir VPN parametrini təsvir edir və hər yerli IPsec idarəetməsini açıqlamır. Tələb idarə olunan çatdırılma olduqda, VPNv2 konfiqurasiya xidməti provayderi məhz bu məqsəd üçün kriptoqrafiya dəsti bölməsinə malikdir.

Siyasət üçün tək sahib təyin edin

Sonrakı idarəetmə profili yeniləməsi bağlantını yenidən yarada və skriptin tətbiq etdiyini əvəz edə bilər, və əvəzləmə geriləmə kimi görünəcək. Dəstin profilə, skriptə yoxsa idarəetmə kanalına aid olduğuna qərar verin və adi yeniləmələrin ilk quraşdırma ilə eyni yolu izləməsini təmin edin.

İki sahib, ikisi razılaşmadıqda heç bir sahiblə eynidir. Sahibin adını profilin dəyişiklik qeydinə yazın. Növbəti yeniləmə həmin qeydin dediyini izləyəcək.

Razılaşdırılmış nəticəni yoxlayın, paketi deyil

Yadda saxlanılan profili və onun əhatə dairəsini oxuyun, sonra yeni bağlantı qurun və şlüzdə seçilmiş təklifləri müqayisə edin. Yenidən açar yaratma davranışını da təsdiqləyin, çünki ilkin əl sıxışması sonrakı mərhələnin rədd etdiyi dəstlə uğur qazana bilər.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Üç qəbul nəticəsi eyni hadisə deyil: paket quraşdırıldı, profil nəzərdə tutulan siyasətlə mövcuddur və tərəflər onunla razılaşdı. Onları ayrı saxlayın ki, çatışmayan sahə heç vaxt autentifikasiyanı zəiflətməklə və ya heç kimin seçmədiyi ehtiyat variantı işə salmaqla bərpa olunmasın.