Pam nad oes gan Windows IKEv2 brodorol faes PSK o gwbl

Mae dogfennaeth y porth yn dweud bod yr allwedd rannol ymlaen llaw yn mynd yn y cleient, ac nid oes gan y proffil Windows faes ar ei chyfer. Nid nam yw’r bwlch hwnnw i’w osgoi drwy deipio’r allwedd yn y blwch cyfrinair. Y gwahaniaeth rhwng yr hyn y gall protocol ei wneud a’r hyn y mae gweithrediad penodol yn ei gynnig yw hyn.

Nid gallu’r protocol yw cefnogaeth y cleient

Mae manyleb IKEv2 yn cynnwys dilysu ag allwedd a rennir, felly gellir ffurfweddu porth ar ei chyfer yn gyfreithlon. Mae proffil mynediad o bell brodorol Windows yn dogfennu trefniadau tystysgrif ac EAP yn lle hynny, ac nid yw gallu’r protocol yn creu maes, paramedr na gwerth cofrestr nad oedd y cleient erioed wedi’i gael.

Mae pobl fel arfer yn cyrraedd cyfeirlyfr PowerShell ar gyfer ychwanegu cysylltiad VPN, ac mae hwnnw’n dangos L2tpPsk ar gyfer trefniant L2TP. Mae’r paramedr hwnnw’n perthyn i L2TP ac nid yw’n gyfrinach IKEv2 gyffredinol. Mae gosodiadau dewis algorithm yn dewis paramedrau amddiffyn, sy’n drydedd beth heb gysylltiad. Nid yw rôl llwybro Windows Server yr un gwrthrych chwaith. Gall rhyngwyneb gweinydd fod â rheolyddion ffurfweddu nad oes gan broffil cleient penbwrdd, ac nid yw copïo gosodiad gweinydd i broffil gorsaf waith yn atgynhyrchu’r gallu.

Dewiswch rhwng tystysgrif, EAP neu L2TP

Os bydd gweithredwr y porth yn derbyn dilysu tystysgrif, dyna’r cyrchfan glanaf fel arfer: mae’r cleient yn cyflwyno tystysgrif, mae’r porth yn ei dilysu yn erbyn dyroddwr ymddiriedol, ac nid oes cyfrinach a rennir yn eistedd mewn proffil i rywun ei chopïo. Mae’n gofyn am gofrestru, cadwyn ymddiriedol a ffurfwedd porth sy’n cysylltu’r dystysgrif â phenderfyniad awdurdodi.

EAP gyda chredensial defnyddiwr yw’r llwybr arall a gefnogir ar y cleient hwn, ac mae’n symud y penderfyniad i ddarparwr hunaniaeth. Mae hefyd yn cyflwyno ei ddibyniaethau ei hun, gan fod rhaid i ddull EAP, tystysgrif y gweinydd ac ymddiriedaeth y cleient yn y dystysgrif honno gyd-fynd. Mae newid i L2TP/IPsec yn unig er mwyn cael maes cyfarwydd yn newid y pentwr protocol. Mae hynny’n dderbyniol pan fo’n ddewis a gefnogir gyda rheswm wedi’i ddogfennu, ac mae’n ganlyniad gwael pan fydd yn digwydd oherwydd bod rhywun yn chwilio am flwch i deipio allwedd ynddo.

Gwiriwch beth fydd y porth yn ei dderbyn

Gofynnwch i’r gweithredwr pa ddulliau dilysu y mae’r gwasanaeth mynediad o bell yn eu cynnig heddiw, yn hytrach na pha rai y mae’r cynnyrch yn eu cefnogi’n gyffredinol. Ni fydd gwasanaeth sydd wedi’i ffurfweddu ar gyfer IKEv2 PSK-yn-unig yn derbyn tystysgrif am fod y cleient yn ffafrio un.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Darllenwch ddull dilysu’r proffil a’r storfa dystysgrifau gyda’i gilydd. Mae proffil wedi’i osod i EAP heb dystysgrif defnyddiadwy y tu ôl iddo yn methu mewn ffordd sy’n edrych fel problem gweinydd.

Os mai’r ateb yw mai dim ond PSK sydd ar gael, y dewisiadau gonest yw cleient cymeradwy sy’n ei gefnogi neu newid i ddyluniad dilysu’r porth. Nid yw’r naill na’r llall yn ddatrysiad lleol, ac mae esgus fel arall yn creu cysylltiad na all ond y sawl a’i ffurfweddodd ei atgynhyrchu.

Cofnodwch y penderfyniad a’r cyfrinachau

Nodwch y dull a ddewiswyd, yr angor ymddiriedaeth, yr hunaniaeth sy’n cyfateb iddo a’r person a gymeradwyodd y newid. Y cofnod hwnnw yw’r hyn y mae adolygiad digwyddiad ei angen, a hwn hefyd sy’n atal y peiriannydd nesaf rhag ailddarganfod yr un cyntedd dall.

Cadwch y cyfrinachau ar wahân yn eich nodiadau: cyfrinair cyfrif, ymadrodd cyfrinair allwedd breifat ac allwedd rannol ymlaen llaw porth yw tri pheth gwahanol, hyd yn oed pan fo sgrin osodiadau’n eu galw i gyd yn gyfrinair. Cymysgu rhyngddynt yw sut y mae allwedd yn cyrraedd tocyn. Profwch y proffil sy’n deillio â chysylltiad newydd ac un cais cymhwysiad i adnodd preifat. Mae twnnel llwyddiannus heb wasanaeth cyrraeddadwy yn ganlyniad rhannol, ac ni ddylid disgrifio’r proffil fel un gorffenedig hyd nes y bydd yr adnodd yn gweithio hefyd.