Windows IKEv2 brugerdefineret politik: anvend den som et selvstændigt trin

En provisioneret forbindelse og et brugerdefineret kryptografisk sæt er to resultater. Afstem politikfelterne, profilens omfang og den ejer, der anvender dem igen.

En provisioning-pakke opretter en IKEv2-forbindelse, og den resulterende profil forhandler noget andet end det sæt, du havde tænkt dig. Pakken gjorde sit arbejde; den havde bare aldrig et felt til det arbejde, du antog. Behandl det kryptografiske sæt som et separat, verificerbart provisioning-trin.

Gå gennem de fem punkter nedenfor i rækkefølge, og hold acceptresultaterne adskilt.

To slags politik bag enslydende navne

Windows skiller den politik, der beskytter nøgleudvekslingen, fra den politik, der beskytter trafikken. IKE-siden konfigureres med en krypteringsmetode og en integritetsmetode. Datasiden konfigureres med chiffer- og autentificeringstransformkonstanter, og de konstanter bruger deres egne navne. Én AES-etiket kopieret ind i det forkerte felt giver en forbindelse, der etableres under en politik, ingen har godkendt.

Nøgleudvekslingsgruppe og perfekt forward secrecy hører til samme forhandling og skal være acceptable for gatewayen. At sætte dem uden at kontrollere den fjerne ende giver en fejl på et senere trin end det, du redigerede, og derfor ligner disse fejl gateway-problemer.

Byg en komplet politik, ikke to algoritmenavne

Skriv hvert felt eksplicit, også dem du tror er standardværdier. En delvis politik anvendt med et force-flag bliver den gemte konfiguration, og de værdier, du udelod, er dem, platformen havde i det øjeblik. Værdier med samme præfiks kan ikke udskiftes mellem felter, og et af de velkendte transformnavne er kun gyldigt som en autentificeringstransform.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Behandl den blok som et illustrativt sæt, som begge dine peers skal understøtte, ikke som en anbefaling. Force-kontakten undertrykker en prompt; den godkender ikke en pakke, du ikke har gennemgået.

Opret først, anvend derefter — i ét omfang

Forbindelsen skal findes, før dens politik kan sættes, og omfanget skal passe på hvert trin. Et trin i maskinkontekst kan ikke finde en vilkårlig brugers private profil, blot fordi visningsnavnet er det samme. Forbindelser for alle brugere, brugerforbindelser og deres tilstandsmapper er separate objekter med separate navne.

Rækkefølgen betyder mere, end den ser ud til i en provisioning-pakke, fordi to kommandoer kan køre tættere sammen, end det tager at oprette forbindelsen. Pak arbejdet efter konfigurationen som en godkendt provisioning-kommando med en erklæret udførelseskontekst, og lad provisioning-motoren sekventere det i stedet for at indsætte en gættet forsinkelse. En søvn, der er lang nok på dit testhardware, er en race condition med en forsinkelse på. Registrer afhængigheden i stedet for varigheden.

De dokumenterede Configuration Designer-felter beskriver én VPN-indstilling og blotlægger ikke alle oprindelige IPsec-kontroller. Hvis kravet er en administreret levering, har VPNv2-konfigurationstjenesteudbyderen et afsnit om kryptografiske sæt netop til dette formål.

Udnævn én ejer af politikken

En senere opdatering af administrationsprofilen kan genskabe forbindelsen og erstatte det, et script anvendte, og erstatningen vil se ud som en regression. Beslut, om sættet ejes af profilen, af et script eller af administrationskanalen, og lad rutineopdateringer følge samme vej som den første installation.

To ejere er det samme som ingen ejer, når de to er uenige. Skriv ejerens navn i profilens ændringslog. Den næste opdatering følger, hvad den log siger.

Verificer det forhandlede resultat, ikke pakken

Læs den gemte profil og dens omfang, og etablér derefter en ny forbindelse og sammenlign de valgte forslag ved gatewayen. Bekræft også rekey-adfærden, fordi et indledende håndtryk kan lykkes med et sæt, som en senere fase afviser.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tre acceptresultater er ikke den samme begivenhed: pakken blev installeret, profilen findes med den tilsigtede politik, og parterne forhandlede den. Hold dem adskilt, så et manglende felt aldrig repareres ved at svække autentificeringen eller ved at aktivere en fallback, ingen valgte.

Relaterede artikler