Windowsi IKEv2 kohandatud poliitika: rakendage seda eraldi sammuna

Provisionitud ühendus ja kohandatud krüptokomplekt on kaks tulemust. Viige kokku poliitika väljad, profiili ulatus ja omanik, kes need uuesti rakendab.

Provisionimispakett loob IKEv2-ühenduse ja sellest tekkiv profiil peab läbirääkimisi millegi muu üle kui teie kavatsetud komplekt. Pakk tegi oma töö; sellel lihtsalt ei olnud kunagi välja selle töö jaoks, mida te eeldasite. Käsitlege krüptokomplekti eraldi, kontrollitava provisionimissammuna.

Käige allolevad viis punkti järjest läbi ja hoidke vastuvõtutulemused eraldi.

Kaks poliitikaliiki sarnaste nimede taga

Windows eraldab võtmevahetust kaitsva poliitika liiklust kaitsvast poliitikast. IKE pool konfigureeritakse krüpteerimismeetodi ja terviklikkusmeetodiga. Andmete pool konfigureeritakse šifri ja autentimistransformi konstantidega ning need konstandid kasutavad oma nimesid. Üks AES-silt valesse välja kopeerituna loob ühenduse, mis luuakse poliitika alusel, mida keegi ei kinnitanud.

Võtmevahetusgrupp ja täiuslik edasisuunaline saladus kuuluvad samasse läbirääkimisse ja peavad olema lüüsile vastuvõetavad. Nende seadistamine ilma kaugemat poolt kontrollimata tekitab tõrke hilisemas etapis kui see, mida te muutsite, ja seetõttu näevad need vead välja nagu lüüsi probleemid.

Koostage täielik poliitika, mitte kaks algoritmi nime

Kirjutage iga väli selgesõnaliselt, ka need, mida peate vaikeväärtusteks. Osaline poliitika, mis rakendatakse sunnilipuga, saab salvestatud konfiguratsiooniks, ja väljad, mille jätsite välja, on need, mis platvormil sel hetkel olid. Sama eesliitega väärtused ei ole väljade vahel vahetatavad, ja üks tuntud transformi nimedest kehtib ainult autentimistransformina.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Käsitlege seda plokki näitliku komplektina, mida mõlemad partnerid peavad toetama, mitte soovitusena. Sunnilüliti surub küsimuse maha; see ei kinnita paketti, mida te ei ole üle vaadanud.

Esmalt looge, seejärel rakendage — ühes ulatuses

Ühendus peab olema olemas enne, kui selle poliitikat saab seada, ja ulatus peab igas etapis ühtima. Masinakonteksti samm ei leia suvalise kasutaja privaatset profiili ainult seetõttu, et kuvatav nimi on sama. Kõigi kasutajate ühendused, kasutajaühendused ja nende olekukataloogid on eraldi objektid eraldi nimedega.

Järjekord on tähtsam, kui see provisionimispaketis paistab, sest kaks käsku võivad joosta teineteisele lähemal, kui ühenduse loomine aega võtab. Pakkige konfiguratsioonijärgne töö kinnitatud provisionimiskäsuna, millel on deklareeritud täitmiskontekst, ja laske provisionimismootoril see järjestada, selle asemel et sisestada oletatud viivitus. Uni, mis on teie testriistvaral piisavalt pikk, on võidujooksutingimus, millele on viivitus lisatud. Registreerige sõltuvus, mitte kestus.

Dokumenteeritud Configuration Designer väljad kirjeldavad ühte VPN-i seadet ega paljasta kõiki IPsec-i algseid juhtelemente. Kui nõue on hallatav tarnimine, on VPNv2 konfiguratsiooniteenuse pakkujal krüptokomplekti jaotis täpselt selleks otstarbeks.

Määrake poliitikale üks omanik

Hilisem haldusprofiili värskendus võib ühenduse uuesti luua ja asendada selle, mida skript rakendas, ning asendus näeb välja nagu regressioon. Otsustage, kas komplekt kuulub profiilile, skriptile või halduskanalile, ja tehke nii, et rutiinsed värskendused järgiksid sama teed kui esmane paigaldus.

Kaks omanikku on sama mis mitte ükski, kui need kaks on eriarvamusel. Kirjutage omaniku nimi profiili muudatuste kirjesse. Järgmine värskendus järgib seda, mida see kirje ütleb.

Kontrollige läbiräägitud tulemust, mitte paketti

Lugege salvestatud profiili ja selle ulatust, seejärel looge uus ühendus ja võrrelge valitud ettepanekuid lüüsis. Kinnitage ka võtmete uuendamise käitumist, sest esmane kätlus võib õnnestuda komplektiga, mille hilisem faas tagasi lükkab.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Kolm vastuvõtutulemust ei ole sama sündmus: pakett paigaldati, profiil on kavatsetud poliitikaga olemas ja partnerid leppisid selle üle kokku. Hoidke need eraldi, et puuduvat välja ei parandataks kunagi autentimise nõrgendamisega ega varuvariandi lubamisega, mida keegi ei valinud.

Seotud artiklid