Γιατί το ενσωματωμένο Windows IKEv2 δεν έχει καθόλου πεδίο PSK

Η τεκμηρίωση της πύλης λέει ότι το προκοινόχρηστο κλειδί μπαίνει στον πελάτη, αλλά το προφίλ των Windows δεν έχει πεδίο γι’ αυτό. Αυτό το κενό δεν είναι σφάλμα που παρακάμπτεται πληκτρολογώντας το κλειδί στο πλαίσιο κωδικού. Είναι η διαφορά ανάμεσα σε αυτό που μπορεί ένα πρωτόκολλο και σε αυτό που προσφέρει μια συγκεκριμένη υλοποίηση.

Η δυνατότητα του πρωτοκόλλου δεν είναι υποστήριξη πελάτη

Η προδιαγραφή IKEv2 περιλαμβάνει έλεγχο ταυτότητας με κοινόχρηστο κλειδί, άρα μια πύλη μπορεί νόμιμα να ρυθμιστεί γι’ αυτό. Το ενσωματωμένο προφίλ απομακρυσμένης πρόσβασης των Windows τεκμηριώνει αντίθετα ρυθμίσεις με πιστοποιητικά και EAP, και η δυνατότητα του πρωτοκόλλου δεν δημιουργεί πεδίο, παράμετρο ή τιμή μητρώου που ο πελάτης δεν είχε ποτέ.

Συνήθως οι άνθρωποι καταλήγουν στο αναφορά PowerShell για προσθήκη σύνδεσης VPN, όπου εμφανίζεται το L2tpPsk για τη ρύθμιση L2TP. Αυτή η παράμετρος ανήκει στο L2TP και δεν είναι γενικό μυστικό του IKEv2. Οι ρυθμίσεις επιλογής αλγορίθμου επιλέγουν παραμέτρους προστασίας, που είναι τρίτο, άσχετο ζήτημα. Ο ρόλος δρομολόγησης των Windows Server δεν είναι επίσης το ίδιο αντικείμενο. Μια διασύνδεση διακομιστή μπορεί να έχει στοιχεία ελέγχου που δεν έχει ένα προφίλ πελάτη επιφάνειας εργασίας, και η αντιγραφή μιας ρύθμισης διακομιστή σε προφίλ σταθμού εργασίας δεν αναπαράγει τη δυνατότητα.

Επιλέξτε πιστοποιητικό, EAP ή L2TP

Αν ο διαχειριστής της πύλης δεχτεί έλεγχο ταυτότητας με πιστοποιητικό, αυτός είναι συνήθως ο καθαρότερος προορισμός: ο πελάτης παρουσιάζει πιστοποιητικό, η πύλη το επικυρώνει έναντι έμπιστου εκδότη και κανένα κοινόχρηστο μυστικό δεν μένει σε προφίλ για να το αντιγράψει κάποιος. Απαιτεί εγγραφή, έμπιστη αλυσίδα και ρύθμιση της πύλης που συνδέει το πιστοποιητικό με απόφαση εξουσιοδότησης.

Το EAP με διαπιστευτήριο χρήστη είναι η άλλη υποστηριζόμενη διαδρομή σε αυτόν τον πελάτη και μεταφέρει την απόφαση σε πάροχο ταυτότητας. Εισάγει και τις δικές του εξαρτήσεις, αφού η μέθοδος EAP, το πιστοποιητικό του διακομιστή και η εμπιστοσύνη του πελάτη σε αυτό το πιστοποιητικό πρέπει να συμφωνούν. Η μετάβαση σε L2TP/IPsec μόνο για ένα οικείο πεδίο αλλάζει τη στοίβα πρωτοκόλλων. Αυτό είναι αποδεκτό όταν είναι υποστηριζόμενη επιλογή με τεκμηριωμένο λόγο, και είναι κακό αποτέλεσμα όταν συμβαίνει επειδή κάποιος έψαχνε πλαίσιο για να πληκτρολογήσει κλειδί.

Ελέγξτε τι θα δεχτεί η πύλη

Ρωτήστε τον διαχειριστή ποιες μεθόδους ελέγχου ταυτότητας προσφέρει σήμερα η υπηρεσία απομακρυσμένης πρόσβασης, όχι ποιες υποστηρίζει γενικά το προϊόν. Μια υπηρεσία ρυθμισμένη για IKEv2 μόνο με PSK δεν θα δεχτεί πιστοποιητικό επειδή ο πελάτης προτιμά ένα.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Διαβάστε τη μέθοδο ελέγχου ταυτότητας του προφίλ και το χώρο αποθήκευσης πιστοποιητικών μαζί. Ένα προφίλ ρυθμισμένο σε EAP χωρίς χρησιμοποιήσιμο πιστοποιητικό πίσω του αποτυγχάνει με τρόπο που μοιάζει με πρόβλημα διακομιστή.

Αν η απάντηση είναι ότι υπάρχει μόνο PSK, οι έντιμες επιλογές είναι ένας εγκεκριμένος πελάτης που το υποστηρίζει ή μια αλλαγή στο σχεδιασμό ελέγχου ταυτότητας της πύλης. Καμία δεν είναι τοπική παράκαμψη, και το αντίθετο δημιουργεί σύνδεση που μόνο όποιος τη ρύθμισε μπορεί να αναπαράγει.

Καταγράψτε την απόφαση και τα μυστικά

Σημειώστε τη μέθοδο που επιλέχτηκε, την άγκυρα εμπιστοσύνης, την ταυτότητα που αντιστοιχεί και το πρόσωπο που ενέκρινε την αλλαγή. Αυτό το αρχείο είναι ό,τι χρειάζεται μια ανασκόπηση περιστατικού, και είναι επίσης αυτό που εμποδίζει τον επόμενο μηχανικό να ξαναβρεί το ίδιο αδιέξοδο.

Κρατήστε τα μυστικά χωριστά στις σημειώσεις σας: κωδικός λογαριασμού, φράση πρόσβασης ιδιωτικού κλειδιού και προκοινόχρηστο κλειδί πύλης είναι τρία διαφορετικά πράγματα, ακόμη και όταν μια οθόνη ρυθμίσεων τα ονομάζει όλα κωδικό. Η σύγχυσή τους είναι ο τρόπος με τον οποίο ένα κλειδί καταλήγει σε ένα δελτίο. Δοκιμάστε το προφίλ που προέκυψε με νέα σύνδεση και ένα αίτημα εφαρμογής προς ιδιωτικό πόρο. Μια επιτυχής σήραγγα χωρίς προσβάσιμη υπηρεσία είναι μερικό αποτέλεσμα, και το προφίλ δεν πρέπει να περιγράφεται ως ολοκληρωμένο πριν λειτουργήσει και ο πόρος.