Vlastní zásada IKEv2 v systému Windows: používejte ji jako samostatný krok

Zřízené připojení a vlastní kryptografická sada jsou dva různé výsledky. Slaďte pole zásady, rozsah profilu a vlastníka, který je znovu aplikuje.

Zřizovací balíček vytvoří připojení IKEv2 a výsledný profil vyjedná něco jiného, než byla sada, kterou jste zamýšleli. Balíček udělal svou práci; jen nikdy neměl pole pro práci, kterou jste předpokládali. Berte kryptografickou sadu jako samostatný, ověřitelný zřizovací krok.

Projděte následujících pět bodů popořadě a udržujte výsledky přijetí oddělené.

Dva druhy zásad za podobnými názvy

Windows odděluje zásadu, která chrání výměnu klíčů, od zásady, která chrání provoz. Strana IKE se nastavuje metodou šifrování a metodou integrity. Strana dat se nastavuje konstantami šifry a transformace ověřování a tyto konstanty používají vlastní názvy. Jediný štítek AES zkopírovaný do nesprávného pole vytvoří připojení, které se naváže podle zásady, kterou nikdo neschválil.

Skupina pro výměnu klíčů a dokonalé utajení dopředu patří ke stejnému vyjednávání a musí být pro bránu přijatelné. Jejich nastavení bez kontroly protější strany vede k selhání v pozdější fázi, než kterou jste upravovali, a proto tyto chyby vypadají jako problémy brány.

Sestavte úplnou zásadu, ne dva názvy algoritmů

Zapište každé pole výslovně, včetně těch, která považujete za výchozí. Částečná zásada použitá s příznakem vynucení se stane uloženou konfigurací a hodnoty, které jste vynechali, jsou ty, které platforma v tu chvíli měla. Hodnoty se stejným prefixem nejsou mezi poli zaměnitelné a jeden ze známých názvů transformací platí jen jako transformace ověřování.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Berte tento blok jako ilustrativní sadu, kterou musí podporovat obě strany, ne jako doporučení. Přepínač vynucení potlačí výzvu; neschvaluje balíček, který jste neprošli.

Nejprve vytvořte, potom použijte — v jednom rozsahu

Připojení musí existovat dřív, než lze nastavit jeho zásadu, a rozsah musí v každém kroku odpovídat. Krok v kontextu počítače nenajde soukromý profil libovolného uživatele jen proto, že zobrazovaný název je stejný. Připojení pro všechny uživatele, uživatelská připojení a jejich adresáře stavu jsou samostatné objekty se samostatnými názvy.

Pořadí je důležitější, než to ve zřizovacím balíčku vypadá, protože dva příkazy mohou proběhnout blíž k sobě, než vytvoření připojení trvá. Zabalte práci po konfiguraci jako schválený zřizovací příkaz s deklarovaným kontextem spuštění a nechte zřizovací engine, aby ji seřadil, místo vkládání odhadnuté prodlevy. Spánek, který je na vašem testovacím hardwaru dost dlouhý, je race condition s přidanou prodlevou. Zaznamenejte závislost, ne dobu trvání.

Dokumentovaná pole Configuration Designer popisují jedno nastavení VPN a neodhalují každou nativní kontrolu IPsec. Pokud je požadavkem spravované doručení, poskytovatel konfigurační služby VPNv2 má sekci kryptografické sady právě pro tento účel.

Určete jediného vlastníka zásady

Pozdější aktualizace profilu správy může připojení znovu vytvořit a nahradit, co použil skript, a nahrazení bude vypadat jako regrese. Rozhodněte, zda sadu vlastní profil, skript, nebo kanál správy, a zařiďte, aby rutinní aktualizace šly stejnou cestou jako první instalace.

Dva vlastníci jsou totéž jako žádný, když se ti dva neshodnou. Zapište jméno vlastníka do záznamu změn profilu. Příští aktualizace se bude řídit tím, co tento záznam říká.

Ověřujte vyjednaný výsledek, ne balíček

Přečtěte si uložený profil a jeho rozsah, potom navažte nové připojení a porovnejte vybrané návrhy na bráně. Potvrďte i chování obnovy klíčů, protože počáteční handshake může uspět se sadou, kterou pozdější fáze odmítne.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tři výsledky přijetí nejsou stejná událost: balíček se nainstaloval, profil existuje se zamýšlenou zásadou a strany se na ní dohodly. Udržujte je oddělené, aby chybějící pole nebylo nikdy opraveno oslabením ověřování nebo zapnutím záložní varianty, kterou nikdo nezvolil.

Související články