Προσαρμοσμένη πολιτική IKEv2 στα Windows: εφαρμόστε την ως ξεχωριστό βήμα

Μια παρεχόμενη σύνδεση και ένα προσαρμοσμένο κρυπτογραφικό σύνολο είναι δύο αποτελέσματα. Ταιριάξτε τα πεδία πολιτικής, το εύρος του προφίλ και τον ιδιοκτήτη που τα εφαρμόζει ξανά.

Ένα πακέτο παροχής δημιουργεί σύνδεση IKEv2 και το προφίλ που προκύπτει διαπραγματεύεται κάτι διαφορετικό από το σύνολο που είχατε κατά νου. Το πακέτο έκανε τη δουλειά του· απλώς δεν είχε ποτέ πεδίο για τη δουλειά που υποθέσατε. Αντιμετωπίστε το κρυπτογραφικό σύνολο ως ξεχωριστό και επαληθεύσιμο βήμα παροχής.

Δουλέψτε τα πέντε σημεία παρακάτω με τη σειρά και κρατήστε τα αποτελέσματα αποδοχής ξεχωριστά.

Δύο είδη πολιτικής πίσω από παρόμοια ονόματα

Τα Windows διαχωρίζουν την πολιτική που προστατεύει την ανταλλαγή κλειδιών από την πολιτική που προστατεύει την κίνηση. Η πλευρά IKE ρυθμίζεται με μια μέθοδο κρυπτογράφησης και μια μέθοδο ακεραιότητας. Η πλευρά δεδομένων ρυθμίζεται με σταθερές κρυπτογράφησης και σταθερές μετασχηματισμού ελέγχου ταυτότητας, και αυτές οι σταθερές χρησιμοποιούν δικά τους ονόματα. Μία ετικέτα AES αντιγραμμένη στο λάθος πεδίο παράγει σύνδεση που εγκαθίσταται με πολιτική που δεν ενέκρινε κανείς.

Η ομάδα ανταλλαγής κλειδιών και η τέλεια εμπιστευτικότητα προς τα εμπρός ανήκουν στην ίδια διαπραγμάτευση και πρέπει να είναι αποδεκτές από την πύλη. Ο ορισμός τους χωρίς έλεγχο του απομακρυσμένου άκρου παράγει αποτυχία σε μεταγενέστερο στάδιο από εκείνο που επεξεργάζεστε, και γι' αυτό αυτά τα λάθη μοιάζουν με προβλήματα πύλης.

Χτίστε πλήρη πολιτική, όχι δύο ονόματα αλγορίθμων

Γράψτε κάθε πεδίο ρητά, συμπεριλαμβανομένων εκείνων που θεωρείτε προεπιλογές. Μια μερική πολιτική που εφαρμόζεται με σημαία εξαναγκασμού γίνεται η αποθηκευμένη διαμόρφωση, και οι τιμές που παραλείψατε είναι αυτές που είχε η πλατφόρμα εκείνη τη στιγμή. Τιμές με το ίδιο πρόθεμα δεν είναι ανταλλάξιμες μεταξύ πεδίων, και ένα από τα γνωστά ονόματα μετασχηματισμού ισχύει μόνο ως μετασχηματισμός ελέγχου ταυτότητας.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Θεωρήστε αυτό το μπλοκ ως ενδεικτικό σύνολο που πρέπει να υποστηρίζουν και οι δύο ομότιμοι, όχι ως σύσταση. Ο διακόπτης εξαναγκασμού καταστέλλει μια προτροπή· δεν εγκρίνει πακέτο που δεν έχετε ελέγξει.

Πρώτα δημιουργήστε, μετά εφαρμόστε — σε ένα εύρος

Η σύνδεση πρέπει να υπάρχει πριν οριστεί η πολιτική της, και το εύρος πρέπει να ταιριάζει σε κάθε βήμα. Ένα βήμα σε περιβάλλον μηχανήματος δεν μπορεί να βρει το ιδιωτικό προφίλ ενός τυχαίου χρήστη μόνο επειδή το εμφανιζόμενο όνομα είναι το ίδιο. Οι συνδέσεις όλων των χρηστών, οι συνδέσεις χρηστών και οι κατάλογοι κατάστασής τους είναι ξεχωριστά αντικείμενα με ξεχωριστά ονόματα.

Η σειρά έχει μεγαλύτερη σημασία απ' ό,τι φαίνεται σε ένα πακέτο παροχής, γιατί δύο εντολές μπορούν να εκτελεστούν πιο κοντά η μία στην άλλη απ' όσο χρειάζεται η δημιουργία της σύνδεσης. Συσκευάστε την εργασία μετά τη διαμόρφωση ως εγκεκριμένη εντολή παροχής με δηλωμένο περιβάλλον εκτέλεσης, και αφήστε τη μηχανή παροχής να τη σειριοποιήσει αντί να εισαγάγετε μια εικαζόμενη καθυστέρηση. Μια αναμονή αρκετά μεγάλη στο υλικό δοκιμών σας είναι συνθήκη ανταγωνισμού με καθυστέρηση προσαρτημένη. Καταγράψτε την εξάρτηση, όχι τη διάρκεια.

Τα τεκμηριωμένα πεδία του Configuration Designer περιγράφουν μία ρύθμιση VPN και δεν εκθέτουν κάθε εγγενή έλεγχο IPsec. Αν η απαίτηση είναι διαχειριζόμενη παράδοση, ο πάροχος υπηρεσίας διαμόρφωσης VPNv2 έχει ενότητα κρυπτογραφικού συνόλου ακριβώς για αυτόν τον σκοπό.

Ορίστε έναν μόνο ιδιοκτήτη της πολιτικής

Μια μεταγενέστερη ενημέρωση του προφίλ διαχείρισης μπορεί να αναδημιουργήσει τη σύνδεση και να αντικαταστήσει ό,τι εφάρμοσε ένα σενάριο, και η αντικατάσταση θα μοιάζει με οπισθοδρόμηση. Αποφασίστε αν το σύνολο ανήκει στο προφίλ, σε ένα σενάριο ή στο κανάλι διαχείρισης, και κάντε τις τακτικές ενημερώσεις να ακολουθούν την ίδια διαδρομή με την πρώτη εγκατάσταση.

Δύο ιδιοκτήτες είναι το ίδιο με κανέναν όταν οι δύο διαφωνούν. Γράψτε το όνομα του ιδιοκτήτη στο αρχείο αλλαγών του προφίλ. Η επόμενη ενημέρωση θα ακολουθήσει ό,τι λέει αυτό το αρχείο.

Επαληθεύστε το διαπραγματευμένο αποτέλεσμα, όχι το πακέτο

Διαβάστε το αποθηκευμένο προφίλ και το εύρος του, μετά καθιερώστε νέα σύνδεση και συγκρίνετε τις επιλεγμένες προτάσεις στην πύλη. Επιβεβαιώστε και τη συμπεριφορά ανανέωσης κλειδιών, γιατί μια αρχική χειραψία μπορεί να πετύχει με σύνολο που απορρίπτει μεταγενέστερη φάση.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Τρία αποτελέσματα αποδοχής δεν είναι το ίδιο γεγονός: το πακέτο εγκαταστάθηκε, το προφίλ υπάρχει με την προβλεπόμενη πολιτική, και οι ομότιμοι τη διαπραγματεύτηκαν. Κρατήστε τα ξεχωριστά, ώστε ένα πεδίο που λείπει να μην επισκευάζεται ποτέ αποδυναμώνοντας τον έλεγχο ταυτότητας ή ενεργοποιώντας εναλλακτική λύση που δεν επέλεξε κανείς.

Σχετικά άρθρα