Zašto ugrađeni Windows IKEv2 uopće nema polje za PSK

Dokumentacija pristupnika kaže da se unaprijed dijeljeni ključ unosi u klijent, a profil u Windowsu nema polje za njega. Ta praznina nije greška koju treba zaobići upisivanjem ključa u polje za lozinku. To je razlika između onoga što protokol može i onoga što nudi određena implementacija.

Sposobnost protokola nije podrška klijenta

Specifikacija IKEv2 uključuje autentifikaciju dijeljenim ključem, pa se pristupnik može legitimno konfigurirati za nju. Ugrađeni profil za daljinski pristup u Windowsu dokumentira umjesto toga rasporede s certifikatima i EAP-om, a sposobnost protokola ne stvara polje, parametar ni vrijednost registra koju klijent nikada nije imao.

Ljudi obično završe na PowerShell referenca za dodavanje VPN veze, a tamo je prikazan L2tpPsk za raspored L2TP. Taj parametar pripada L2TP i nije opća IKEv2 tajna. Postavke za odabir algoritama biraju parametre zaštite, što je treća, nepovezana stvar. Uloga usmjeravanja u Windows Serveru također nije isti objekt. Serversko sučelje može imati kontrole kojih profil stolnog klijenta nema, a kopiranje serverske postavke u profil radne stanice ne reproducira tu sposobnost.

Odaberite između certifikata, EAP-a ili L2TP-a

Ako operator pristupnika prihvati autentifikaciju certifikatom, to je obično najčišće odredište: klijent predoči certifikat, pristupnik ga provjeri kod pouzdanog izdavača i u profilu ne ostaje dijeljena tajna koju bi neko mogao kopirati. To zahtijeva upis, pouzdani lanac i konfiguraciju pristupnika koja certifikat povezuje s odlukom o odobrenju.

EAP s korisničkim podacima drugi je podržani put na ovom klijentu i premješta odluku na davatelja identiteta. On uvodi i vlastite zavisnosti, jer se metoda EAP, serverski certifikat i povjerenje klijenta u taj certifikat moraju sve poklopiti. Prelazak na L2TP/IPsec samo da bi se dobilo poznato polje mijenja stog protokola. To je prihvatljivo kada je podržan izbor s dokumentiranim razlogom, a loš je ishod kada se dogodi jer je neko tražio okvir u koji bi upisao ključ.

Provjerite šta će pristupnik prihvatiti

Pitajte operatora koje metode autentifikacije usluga daljinskog pristupa nudi danas, a ne koje proizvod podržava općenito. Usluga konfigurirana za IKEv2 samo s PSK-om neće prihvatiti certifikat zato što ga klijent preferira.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Čitajte metodu autentifikacije profila i spremište certifikata zajedno. Profil postavljen na EAP bez upotrebljivog certifikata iza sebe pada na način koji izgleda kao problem poslužitelja.

Ako je odgovor da je dostupan samo PSK, iskrene su opcije odobreni klijent koji ga podržava ili promjena dizajna autentifikacije pristupnika. Ni jedno nije lokalno zaobilaženje, a pretvaranje da jest stvara vezu koju može reproducirati samo osoba koja ju je konfigurirala.

Zabilježite odluku i tajne

Zapišite odabranu metodu, sidro povjerenja, identitet koji se s njim povezuje i osobu koja je odobrila promjenu. Taj zapis treba pregledu incidenta, a on i sprječava sljedećeg inženjera da ponovno otkrije isti slijepi put.

Držite tajne odvojeno u bilješkama: lozinka računa, pristupna fraza privatnog ključa i unaprijed dijeljeni ključ pristupnika tri su različite stvari, čak i kada zaslon postavki sve ih naziva lozinkom. Njihovo miješanje način je na koji ključ završi u zahtjevu. Testirajte dobiveni profil novom vezom i jednim zahtjevom aplikacije prema privatnom resursu. Uspješan tunel bez dostupne usluge djelomičan je rezultat i profil se ne smije opisati kao dovršen dok i resurs ne proradi.