Miks Windowsi natiivsel IKEv2-l pole üldse PSK-välja

Lüüsi dokumentatsioon ütleb, et eeljagatud võti sisestatakse kliendisse, kuid Windowsi profiilil pole selle jaoks välja. See lünk ei ole viga, millest saaks mööda minna, tippides võtme parooliväljale. See on erinevus selle vahel, mida protokoll suudab, ja selle vahel, mida konkreetne teostus pakub.

Protokolli võimekus ei ole kliendi tugi

IKEv2 spetsifikatsioon sisaldab jagatud võtmega autentimist, seega võib lüüsi selle jaoks seaduslikult konfigureerida. Windowsi natiivne kaugjuurdepääsuprofiil dokumenteerib selle asemel sertifikaadi- ja EAP-lahendusi ning protokolli võimekus ei loo välja, parameetrit ega registriväärtust, mida kliendil kunagi polnud.

Inimesed jõuavad tavaliselt lehele PowerShelli viide VPN-ühenduse lisamiseks, kus on L2TP-lahenduse jaoks näidatud L2tpPsk. See parameeter kuulub L2TP juurde ega ole üldine IKEv2 saladus. Algoritmi valiku seaded valivad kaitseparameetreid, mis on kolmas, seostamata asi. Ka Windows Serveri marsruutimisroll ei ole sama objekt. Serveri liidesel võib olla konfiguratsioonikontrolle, mida töölaua kliendiprofiilil pole, ja serveri seade kopeerimine tööjaama profiili ei taasta seda võimekust.

Valige sertifikaadi, EAP või L2TP vahel

Kui lüüsi operaator aktsepteerib sertifikaadiautentimist, on see tavaliselt puhtaim sihtkoht: klient esitab sertifikaadi, lüüs valideerib selle usaldusväärse väljaandja juures ja profiili ei jää jagatud saladust, mida keegi saaks kopeerida. See nõuab registreerimist, usaldusahelat ja lüüsi konfiguratsiooni, mis seob sertifikaadi autoriseerimisotsusega.

EAP kasutaja mandaadiga on selle kliendi teine toetatud tee ja see viib otsuse identiteedipakkujale. See toob kaasa ka oma sõltuvused, sest EAP-meetod, serveri sertifikaat ja kliendi usaldus selle sertifikaadi vastu peavad kõik kokku sobima. Ainult harjumuspärase välja saamiseks L2TP/IPsecile üleminek muudab protokollipinu. See on vastuvõetav, kui see on dokumenteeritud põhjusega toetatud valik, ja halb tulemus, kui see juhtub sellepärast, et keegi otsis kasti, kuhu võtit kirjutada.

Kontrollige, mida lüüs aktsepteerib

Küsige operaatorilt, milliseid autentimismeetodeid kaugjuurdepääsuteenus täna pakub, mitte milliseid toode üldiselt toetab. Ainult PSK jaoks konfigureeritud IKEv2 teenus ei võta sertifikaati vastu sellepärast, et klient eelistab seda.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Lugege profiili autentimismeetodit ja sertifikaadihoidlat koos. EAP-le seatud profiil, mille taga pole kasutatavat sertifikaati, ebaõnnestub viisil, mis näeb välja nagu serveri probleem.

Kui vastus on, et saadaval on ainult PSK, on ausad valikud seda toetav heakskiidetud klient või muudatus lüüsi autentimiskujunduses. Kumbki ei ole kohalik möödahiilimine, ja vastupidise väitmine loob ühenduse, mida suudab korrata ainult see, kes selle seadistas.

Kirjutage otsus ja saladused üles

Kirjutage üles valitud meetod, usaldusankur, sellega seotud identiteet ja inimene, kes muudatuse heaks kiitis. See kirje on see, mida juhtumi ülevaatus vajab, ja see takistab ka järgmisel inseneril sama tupikteed uuesti avastada.

Hoidke saladused märkmetes eraldi: kontoparool, privaatvõtme paroolifraas ja lüüsi eeljagatud võti on kolm erinevat asja, isegi kui seadete ekraan nimetab neid kõiki parooliks. Nende segamine on viis, kuidas võti piletisse satub. Testige saadud profiili värske ühenduse ja ühe rakendusepäringuga privaatsele ressursile. Edukas tunnel ilma kättesaadava teenuseta on osaline tulemus ja profiili ei tohiks kirjeldada valminuna enne, kui ka ressurss töötab.