Política personalitzada d’IKEv2 a Windows: apliqueu-la com a pas propi

Un paquet d’aprovisionament crea una connexió IKEv2 i el perfil resultant negocia una cosa diferent del conjunt que teníeu previst. El paquet va fer la seva feina; simplement mai va tenir un camp per a la feina que vau suposar. Tracteu el conjunt criptogràfic com un pas d’aprovisionament separat i verificable.

Recorreu els cinc punts de sota en ordre i manteniu els resultats d’acceptació separats.

Dos tipus de política darrere noms semblants

Windows separa la política que protegeix l’intercanvi de claus de la política que protegeix el trànsit. El costat IKE es configura amb un mètode de xifratge i un mètode d’integritat. El costat de dades es configura amb constants de xifrador i de transformació d’autenticació, i aquestes constants fan servir noms propis. Una sola etiqueta AES copiada al camp equivocat produeix una connexió que s’estableix sota una política que ningú no va aprovar.

El grup d’intercanvi de claus i el secret perfecte cap endavant pertanyen a la mateixa negociació i han de ser acceptables per a la passarel·la. Configurar-los sense comprovar l’extrem remot produeix un error en una etapa posterior a la que estàveu editant, i per això aquests errors semblen problemes de la passarel·la.

Construeixi una política completa, no dos noms d’algorisme

Escriviu cada camp explícitament, inclosos els que creieu que són valors per defecte. Una política parcial aplicada amb un indicador de força esdevé la configuració desada, i els valors que heu omès són els que la plataforma tenia en aquell moment. Els valors que comencen amb el mateix prefix no són intercanviables entre camps, i un dels noms de transformació coneguts només és vàlid com a transformació d’autenticació.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Tracteu aquest bloc com un conjunt il·lustratiu que tots dos parells han de suportar, no com una recomanació. L’interruptor de força suprimeix un missatge; no aprova un paquet que no heu revisat.

Primer creeu, després apliqueu — en un sol àmbit

La connexió ha d’existir abans que es pugui establir la seva política, i l’àmbit ha de coincidir a cada pas. Un pas en context de màquina no pot trobar el perfil privat d’un usuari arbitrari només perquè el nom de visualització és el mateix. Les connexions de tots els usuaris, les connexions d’usuari i els seus directoris d’estat són objectes separats amb noms separats.

L’ordre importa més del que sembla en un paquet d’aprovisionament, perquè dues ordres poden executar-se més a prop l’una de l’altra del que triga a crear-se la connexió. Empaqueteu la feina posterior a la configuració com una ordre d’aprovisionament aprovada amb un context d’execució declarat, i deixeu que el motor d’aprovisionament la seqüenciï en lloc d’inserir un retard suposat. Una espera prou llarga al vostre maquinari de proves és una condició de cursa amb un retard afegit. Registreu la dependència en lloc de la durada.

Els camps documentats del Configuration Designer descriuen un paràmetre de VPN i no exposen tots els controls natius d’IPsec. Si el requisit és un lliurament gestionat, el proveïdor de servei de configuració VPNv2 té una secció de conjunt criptogràfic justament per a aquesta finalitat.

Nomeni un sol propietari de la política

Una actualització posterior del perfil de gestió pot recrear la connexió i substituir el que hagi aplicat un script, i la substitució semblarà una regressió. Decidiu si el conjunt és propietat del perfil, d’un script o del canal de gestió, i feu que les actualitzacions rutinàries segueixin el mateix camí que la primera instal·lació.

Dos propietaris són el mateix que cap propietari quan els dos no es posen d’acord. Escriviu el nom del propietari al registre de canvis del perfil. La propera actualització seguirà el que digui aquest registre.

Verifiqueu el resultat negociat, no el paquet

Llegiu el perfil desat i el seu àmbit, després establiu una connexió nova i compareu les propostes seleccionades a la passarel·la. Confirmeu també el comportament de renegociació de claus, perquè una negociació inicial pot tenir èxit amb un conjunt que una fase posterior rebutja.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tres resultats d’acceptació no són el mateix esdeveniment: el paquet s’ha instal·lat, el perfil existeix amb la política prevista i els parells l’han negociat. Manteniu-los separats, perquè un camp que falta no es repari mai afeblint l’autenticació ni habilitant una alternativa que ningú no va triar.