Per què el Windows IKEv2 natiu no té cap camp de PSK

La documentació de la passarel·la diu que la clau precompartida s’introdueix al client, però el perfil de Windows no té cap camp per a ella. Aquest buit no és un error que s’hagi de vorejar escrivint la clau a la casella de contrasenya. És la diferència entre el que pot fer un protocol i el que ofereix una implementació concreta.

La capacitat del protocol no és suport del client

L’especificació d’IKEv2 inclou l’autenticació amb clau compartida, així que una passarel·la es pot configurar legítimament per a això. En canvi, el perfil natiu d’accés remot de Windows documenta disposicions amb certificats i EAP, i la capacitat del protocol no crea cap camp, paràmetre ni valor de registre que el client no hagi tingut mai.

Normalment la gent acaba a referència de PowerShell per afegir una connexió VPN, on es mostra L2tpPsk per a la disposició L2TP. Aquest paràmetre pertany a L2TP i no és un secret general d’IKEv2. Els paràmetres de selecció d’algorismes trien paràmetres de protecció, que és una tercera cosa sense relació. El rol d’encaminament del Windows Server tampoc no és el mateix objecte. Una interfície de servidor pot tenir controls de configuració que un perfil de client d’escriptori no té, i copiar un paràmetre de servidor a un perfil d’estació de treball no reprodueix la capacitat.

Trieu entre certificat, EAP o L2TP

Si l’operador de la passarel·la accepta l’autenticació per certificat, normalment és la destinació més neta: el client presenta un certificat, la passarel·la el valida contra un emissor de confiança i cap secret compartit no queda en un perfil perquè algú el copiï. Requereix inscripció, una cadena de confiança i una configuració de la passarel·la que vinculi el certificat a una decisió d’autorització.

L’EAP amb una credencial d’usuari és l’altre camí admès en aquest client, i trasllada la decisió a un proveïdor d’identitat. També introdueix les seves pròpies dependències, perquè el mètode EAP, el certificat del servidor i la confiança del client en aquest certificat s’han d’alinear. Passar a L2TP/IPsec només per obtenir un camp familiar canvia la pila de protocols. Això és acceptable quan és una opció admesa amb un motiu documentat, i és un mal resultat quan passa perquè algú buscava una casella on escriure una clau.

Comproveu què acceptarà la passarel·la

Pregunteu a l’operador quins mètodes d’autenticació ofereix avui el servei d’accés remot, no quins admet el producte en general. Un servei configurat per a IKEv2 només amb PSK no acceptarà un certificat perquè el client en prefereixi un.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Llegiu el mètode d’autenticació del perfil i el magatzem de certificats alhora. Un perfil configurat amb EAP sense cap certificat utilitzable al darrere falla d’una manera que sembla un problema del servidor.

Si la resposta és que només hi ha PSK, les opcions honestes són un client aprovat que l’admeti o un canvi en el disseny d’autenticació de la passarel·la. Cap de les dues és una solució local, i fer veure el contrari produeix una connexió que només pot reproduir qui la va configurar.

Registreu la decisió i els secrets

Anoteu el mètode triat, l’àncora de confiança, la identitat que hi correspon i la persona que va aprovar el canvi. Aquest registre és el que necessita una revisió d’incidents i també el que evita que el següent enginyer torni a recórrer el mateix carreró sense sortida.

Manteniu els secrets separats a les notes: una contrasenya de compte, una frase de pas de clau privada i una clau precompartida de passarel·la són tres coses diferents, fins i tot quan una pantalla de configuració les anomena totes contrasenya. Confondre-les és com una clau acaba en un tiquet. Proveu el perfil resultant amb una connexió nova i una petició d’aplicació a un recurs privat. Un túnel correcte sense cap servei accessible és un resultat parcial, i el perfil no s’ha de descriure com a acabat fins que el recurs també funcioni.