Propra IKEv2-politiko en Windows: apliku ĝin kiel apartan paŝon

Provizita konekto kaj propra kriptografia suito estas du rezultoj. Kongruigu la politikajn kampojn, la profilan amplekson kaj la posedanton, kiu reaplikas ilin.

Provizpakado kreas IKEv2-konekton, kaj la rezulta profilo intertraktas ion alian ol la suito, kiun vi intencis. La pako faris sian taskon; ĝi simple neniam havis kampon por la tasko, kiun vi supozis. Traktu la kriptografian suiton kiel apartan, kontroleblan provizpaŝon.

Trairu la kvin erojn sube laŭorde, kaj tenu la akceptajn rezultojn apartaj.

Du specoj de politiko malantaŭ similaj nomoj

Windows apartigas la politikon, kiu protektas la ŝlosilinterŝanĝon, de la politiko, kiu protektas la trafikon. La IKE-flanko estas agordata per ĉifra metodo kaj per integreca metodo. La datuma flanko estas agordata per konstantoj de ĉifrilo kaj de aŭtentiga transformo, kaj tiuj konstantoj uzas proprajn nomojn. Unu AES-etikedo kopiita en la malĝustan kampon produktas konekton, kiu establiĝas laŭ politiko, kiun neniu aprobis.

Ŝlosilinterŝanĝa grupo kaj perfekta antaŭena sekreteco apartenas al la sama intertraktado kaj devas esti akcepteblaj por la enirejo. Agordi ilin sen kontroli la malproksiman flankon produktas malsukceson en posta etapo ol tiu, kiun vi redaktis, kaj tial ĉi tiuj eraroj aspektas kiel problemoj de la enirejo.

Konstruu kompletan politikon, ne du algoritmojn nomojn

Skribu ĉiun kampon eksplicite, inkluzive de tiuj, kiujn vi kredas defaŭltaj. Parta politiko aplikita kun deviga flago fariĝas la konservita agordo, kaj la valoroj, kiujn vi lasis ekstere, estas tio, kion la platformo havis en tiu momento. Valoroj kun la sama prefikso ne estas interŝanĝeblaj inter kampoj, kaj unu el la konataj transformaj nomoj validas nur kiel aŭtentiga transformo.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Traktu tiun blokon kiel ilustran suiton, kiun ambaŭ viaj kunuloj devas subteni, ne kiel rekomendon. La deviga ŝaltilo subpremas demandon; ĝi ne aprobas pakon, kiun vi ne reviziis.

Unue kreu, poste apliku — en unu amplekso

La konekto devas ekzisti antaŭ ol ĝia politiko povas esti agordita, kaj la amplekso devas kongrui ĉe ĉiu paŝo. Paŝo en maŝina kunteksto ne povas trovi la privatan profilon de arbitra uzanto nur ĉar la montrata nomo estas la sama. Konektoj por ĉiuj uzantoj, uzantaj konektoj kaj iliaj statuj dosierujoj estas apartaj objektoj kun apartaj nomoj.

La ordo gravas pli, ol ĝi aspektas en provizpako, ĉar du komandoj povas kuri pli proksime unu al la alia, ol daŭras la kreado de la konekto. Paku la laboron post la agordo kiel aprobita provizkomando kun deklarita plenumkunteksto, kaj lasu la provizan motoron sinsekvigi ĝin anstataŭ enmeti supozitan prokraston. Dormo, kiu estas sufiĉe longa sur via testa aparataro, estas konkursa kondiĉo kun aldonita prokrasto. Registru la dependecon anstataŭ la daŭron.

La dokumentitaj kampoj de Configuration Designer priskribas unu VPN-agordon kaj ne malkaŝas ĉiun denaskan IPsec-regilon. Se la postulo estas administrata livero, la agorda servoprovizanto VPNv2 havas sekcion pri kriptografia suito ĝuste por ĉi tiu celo.

Nomu unu posedanton por la politiko

Posta ĝisdatigo de la administra profilo povas rekrei la konekton kaj anstataŭigi tion, kion skripto aplikis, kaj la anstataŭo aspektos kiel regreso. Decidu, ĉu la suiton posedas la profilo, skripto aŭ la administra kanalo, kaj faru, ke rutinaj ĝisdatigoj sekvu la saman vojon kiel la unua instalado.

Du posedantoj estas la samo kiel neniu posedanto, kiam la du malkonsentas. Skribu la nomon de la posedanto en la ŝanĝregistron de la profilo. La sekva ĝisdatigo sekvos tion, kion diras tiu registro.

Kontrolu la intertraktitan rezulton, ne la pakon

Legu la konservitan profilon kaj ĝian amplekson, poste starigu novan konekton kaj komparu la elektitajn proponojn ĉe la enirejo. Konfirmu ankaŭ la konduton de ŝlosila renovigo, ĉar komenca manpremo povas sukcesi kun suito, kiun posta fazo rifuzas.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tri akceptaj rezultoj ne estas la sama evento: la pako instaliĝis, la profilo ekzistas kun la intencita politiko, kaj la kunuloj intertraktis ĝin. Tenu ilin apartaj, por ke mankanta kampo neniam estu riparita per malfortigo de aŭtentigo aŭ per ŝaltado de rezervaĵo, kiun neniu elektis.

Rilataj artikoloj