Карыстальніцкая палітыка IKEv2 у Windows: ужывайце яе асобным крокам

Забяспечанае злучэнне і карыстальніцкі крыптаграфічны набор — дзве розныя вынікі. Узгадніце палі поля, ахоп профілю і ўладальніка, які ўжывае іх паўторна.

Пакет забеспячэння стварае злучэнне IKEv2, і атрыманы профіль дамаўляецца пра нешта іншае, чым набор, які вы мелі на ўвазе. Пакет зрабіў сваю працу; у ім проста не было поля для той работы, якую вы меркавалі. Разглядайце крыптаграфічны набор як асобны крок забеспячэння, які можна праверыць.

Прайдзіце пяць пунктаў ніжэй па парадку і трымайце вынікі прыёмкі асобна.

Два віды палітыкі за падобнымі назвамі

Windows раздзяляе палітыку, якая абараняе абмен ключамі, і палітыку, якая абараняе трафік. Бок IKE наладжваецца метадам шыфравання і метадам праверкі цэласнасці. Бок даных наладжваецца канстантамі шыфра і пераўтварэння аўтэнтыфікацыі, і гэтыя канстанты маюць уласныя назвы. Адзін цэтлік AES, скапіяваны ў няправільнае поле, стварае злучэнне, якое ўсталёўваецца па палітыцы, якую ніхто не ўхваляў.

Група абмену ключамі і дасканалая прамая сакрэтнасць належаць да той самай дамоўленасці і павінны быць прымальнымі для шлюза. Іх налада без праверкі далёкага боку дае збой на больш позняй стадыі, чым тая, якую вы рэдагавалі, і таму гэтыя памылкі выглядаюць як праблемы шлюза.

Будуйце поўную палітыку, а не два назвы алгарытмаў

Запішыце кожнае поле яўна, уключаючы тыя, якія вы лічыце прадвызначанымі. Частковая палітыка, ужытая са сцягам прымусу, становіцца захаванай канфігурацыяй, а значэнні, якія вы прапусцілі, — гэта тое, што платформа мела ў той момант. Значэнні з аднолькавым прэфіксам не ўзаемазамяняльныя паміж палямі, і адна з вядомых назваў пераўтварэнняў слушная толькі як пераўтварэнне аўтэнтыфікацыі.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Разглядайце гэты блок як ілюстрацыйны набор, які павінны падтрымліваць абодва бакі, а не як рэкамендацыю. Перамыкач прымусу заглушае запыт; ён не ўхваляе пакет, які вы не праверылі.

Спачатку стварыце, потым ужывіце — у адным ахопе

Злучэнне павінна існаваць да таго, як можна задаць яго палітыку, і ахоп павінен супадаць на кожным кроку. Крок у кантэксце машыны не можа знайсці прыватны профіль адвольнага карыстальніка толькі таму, што адлюстраванае імя тое самае. Злучэнні ўсіх карыстальнікаў, злучэнні карыстальнікаў і іх каталогі стану — гэта асобныя аб’екты з асобнымі назвамі.

Парадак важнейшы, чым здаецца ў пакеце забеспячэння, бо дзве каманды могуць прайсці бліжэй адна да адной, чым патрабуе стварэнне злучэння. Аформіце працу пасля канфігурацыі як ухваленую каманду забеспячэння з абвешчаным кантэкстам выканання і дазвольце рухавіку забеспячэння ўпарадкаваць яе замест устаўкі меркаванай затрымкі. Паўза, дастаткова доўгая на вашым тэставым абсталяванні, — гэта стан гонкі з дадатковай затрымкай. Запісвайце залежнасць, а не працягласць.

Дакументаваныя палі Configuration Designer апісваюць адзін параметр VPN і не адкрываюць усе ўласныя сродкі кіравання IPsec. Калі патрабаванне — кіраваная дастаўка, пастаўшчык службы канфігурацыі VPNv2 мае раздзел набору крыптаграфіі менавіта для гэтага.

Прызначце аднаго ўладальніка палітыкі

Пазнейшае абнаўленне профілю кіравання можа перастварыць злучэнне і замяніць тое, што ўжыў сцэнар, і замена будзе выглядаць як рэгрэс. Вырашыце, ці належыць набор профілю, сцэнару або каналу кіравання, і зрабіце так, каб звычайныя абнаўленні ішлі тым самым шляхам, што і першая ўстаноўка.

Два ўладальнікі — гэта тое самае, што ніводнага, калі яны не пагаджаюцца. Запішыце імя ўладальніка ў запіс змяненняў профілю. Наступнае абнаўленне пойдзе за тым, што сказана ў гэтым запісе.

Правярайце ўзгоднены вынік, а не пакет

Прачытайце захаваны профіль і яго ахоп, потым усталюйце новае злучэнне і параўнайце выбраныя прапановы на шлюзе. Пацвердзіце таксама паводзіны перазамены ключоў, бо пачатковае рукапоцісканне можа ўдасца з наборам, які адхіляе позняя фаза.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Тры вынікі прыёмкі — не адна і тая ж падзея: пакет усталяваны, профіль існуе з намечанай палітыкай, і бакі дамовіліся пра яе. Трымайце іх асобна, каб адсутнае поле ніколі не выпраўлялася аслабленнем аўтэнтыфікацыі або ўключэннем запаснога варыянту, якога ніхто не выбіраў.

Падобныя артыкулы