Polisi IKEv2 cyfaddas Windows: ei gymhwyso fel cam ar wahân

Mae pecyn darparu yn creu cysylltiad IKEv2, ac mae’r proffil sy’n deillio yn trafod rhywbeth gwahanol i’r set a fwriadwyd gennych. Gwnaeth y pecyn ei waith; nid oedd ganddo erioed faes ar gyfer y gwaith a dybiasoch. Triniwch y set gryptograffig fel cam darparu ar wahân y gellir ei wirio.

Ewch drwy’r pum eitem isod yn eu trefn, a chadwch y canlyniadau derbyn ar wahân.

Dau fath o bolisi y tu ôl i enwau tebyg

Mae Windows yn gwahanu’r polisi sy’n diogelu’r gyfnewid allweddi oddi wrth y polisi sy’n diogelu’r traffig. Ffurfweddir ochr IKE gan ddull amgryptio a dull cyfanrwydd. Ffurfweddir ochr y data gan gysonion seiffr a chysonion trawsnewid dilysu, ac mae’r cysonion hynny’n defnyddio eu henwau eu hunain. Mae un label AES wedi’i gopïo i’r maes anghywir yn cynhyrchu cysylltiad sy’n ymsefydlu o dan bolisi na chymeradwyodd neb.

Mae’r grŵp cyfnewid allweddi a chyfrinachedd ymlaen perffaith yn perthyn i’r un drafodaeth ac mae’n rhaid iddynt fod yn dderbyniol i’r porth. Mae eu gosod heb wirio’r pen pell yn cynhyrchu methiant mewn cam diweddarach na’r un oeddech yn ei olygu, a dyna pam mae’r camgymeriadau hyn yn edrych fel problemau porth.

Adeiladwch bolisi cyflawn, nid dau enw algorithm

Ysgrifennwch bob maes yn benodol, gan gynnwys y rhai y credwch sy’n rhagosodedig. Mae polisi rhannol a gymhwysir gyda fflag gorfodi yn dod yn ffurfweddiad a gedwir, a’r gwerthoedd a hepgorwyd gennych yw’r hyn oedd gan y platfform ar y pryd. Nid yw gwerthoedd sy’n dechrau gyda’r un rhagddodiad yn gyfnewidiol ar draws meysydd, ac mae un o’r enwau trawsnewid hysbys yn ddilys yn unig fel trawsnewid dilysu.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Triniwch y bloc hwnnw fel set enghreifftiol y mae’n rhaid i’ch dau bartner ei chefnogi, nid fel argymhelliad. Mae’r switsh gorfodi yn atal anogwr; nid yw’n cymeradwyo pecyn nad ydych wedi’i adolygu.

Crëwch yn gyntaf, yna cymhwyswch — mewn un cwmpas

Rhaid i’r cysylltiad fodoli cyn y gellir gosod ei bolisi, a rhaid i’r cwmpas gydweddu ym mhob cam. Ni all cam yng nghyd-destun peiriant ddod o hyd i broffil preifat defnyddiwr mympwyol dim ond oherwydd bod yr enw arddangos yr un peth. Mae cysylltiadau pob defnyddiwr, cysylltiadau defnyddiwr a’u cyfeiriaduron cyflwr yn wrthrychau ar wahân ag enwau ar wahân.

Mae trefn yn bwysicach nag y mae’n edrych mewn pecyn darparu, oherwydd gall dau orchymyn redeg yn agosach at ei gilydd na’r amser y mae’n ei gymryd i greu’r cysylltiad. Pecynnwch y gwaith ar ôl ffurfweddu fel gorchymyn darparu cymeradwy â chyd-destun gweithredu datganedig, a gadewch i’r peiriant darparu ei drefnu yn lle mewnosod oedi a ddyfalwyd. Mae cwsg sy’n ddigon hir ar eich caledwedd prawf yn amod ras gydag oedi ynghlwm. Cofnodwch y dibyniaeth yn lle’r hyd.

Mae meysydd Configuration Designer a ddogfennwyd yn disgrifio un gosodiad VPN, ac nid ydynt yn datgelu pob rheolaeth IPsec frodorol. Os yw’r gofyniad yn danfoniad a reolir, mae gan ddarparwr gwasanaeth ffurfweddu VPNv2 adran set gryptograffig ar gyfer yr union ddiben hwn.

Enwch un perchennog ar gyfer y polisi

Gall diweddariad diweddarach i’r proffil rheoli ail-greu’r cysylltiad a disodli’r hyn a gymhwysodd sgript, a bydd y disodli yn edrych fel dirywiad. Penderfynwch a yw’r set yn eiddo i’r proffil, i sgript neu i’r sianel reoli, a gwnewch i ddiweddariadau rheolaidd ddilyn yr un llwybr â’r gosodiad cyntaf.

Mae dau berchennog yr un fath â dim perchennog pan nad yw’r ddau yn cytuno. Ysgrifennwch enw’r perchennog yng nghofnod newid y proffil. Bydd y diweddariad nesaf yn dilyn yr hyn y mae’r cofnod hwnnw yn ei ddweud.

Gwiriwch y canlyniad a drafodwyd, nid y pecyn

Darllenwch y proffil a gedwir a’i gwmpas, yna sefydlwch gysylltiad newydd a chymharwch y cynigion a ddewiswyd yn y porth. Cadarnhewch ymddygiad ailosod allweddi hefyd, oherwydd gall ysgwyd llaw cychwynnol lwyddo gyda set y mae cam diweddarach yn ei gwrthod.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Nid yw tri chanlyniad derbyn yn yr un digwyddiad: gosodwyd y pecyn, mae’r proffil yn bodoli gyda’r polisi a fwriadwyd, ac mae’r partneriaid wedi’i drafod. Cadwch hwy ar wahân, fel na chaiff maes coll ei drwsio byth drwy wanhau dilysu nac drwy alluogi cwymp yn ôl na ddewisodd neb.