Zergatik ez duen Windows IKEv2 natiboak PSK eremurik batere

Atebidearen dokumentazioak dio aurrez partekatutako gakoa bezeroan jartzen dela, baina Windows profilak ez du horretarako eremurik. Hutsune hori ez da pasahitzaren koadroan gakoa idatziz saihesten den akats bat. Protokolo batek zer egin dezakeen eta inplementazio jakin batek zer eskaintzen duen arteko aldea da.

Protokoloaren gaitasuna ez da bezeroaren laguntza

IKEv2 zehaztapenak gako partekatuaren autentifikazioa barne hartzen du, beraz atebide bat zilegi konfigura daiteke horretarako. Windows-en urruneko sarbidearen profil natiboak ziurtagiri eta EAP konponketak dokumentatzen ditu horren ordez, eta protokoloaren gaitasunak ez du bezeroak inoiz izan ez zuen eremu, parametro edo erregistro-baliorik sortzen.

Jendea normalean PowerShell erreferentzia VPN konexio bat gehitzeko orrialdera iristen da, eta han L2tpPsk erakusten da L2TP konponketarako. Parametro hori L2TP-ri dagokio eta ez da IKEv2 sekretu orokor bat. Algoritmoen hautapenaren ezarpenek babes-parametroak hautatzen dituzte, eta hori hirugarren kontu erlaziorik gabekoa da. Windows Server-en bideratze-rola ere ez da objektu bera. Zerbitzariaren interfazeak mahaigaineko bezeroaren profilak ez dituen konfigurazio-kontrolak izan ditzake, eta zerbitzariaren ezarpen bat lan-estazioko profilera kopiatzeak ez du gaitasuna birsortzen.

Aukeratu ziurtagiria, EAP edo L2TP

Atebidearen operadoreak ziurtagiri bidezko autentifikazioa onartzen badu, normalean helmugarik garbiena da: bezeroak ziurtagiri bat aurkezten du, atebideak islatzaile fidagarri baten aurka baliozkotzen du, eta ez da sekretu partekaturik profilean inork kopiatzeko geratzen. Izena ematea, kate fidagarri bat eta ziurtagiria baimen-erabaki batera lotzen duen atebide-konfigurazioa behar ditu.

Erabiltzaile-kredentzialarekin EAP da bezero honetan onartutako beste bidea, eta erabakia identitate-hornitzaile batera eramaten du. Bere mendekotasunak ere sartzen ditu, EAP metodoa, zerbitzariaren ziurtagiria eta bezeroak ziurtagiri horretan duen konfiantza guztiak bat etorri behar baitute. Eremu ezagun bat lortzeagatik soilik L2TP/IPsec-era aldatzeak protokolo-pila aldatzen du. Hori onargarria da arrazoi dokumentatua duen hautapen onartua denean, eta emaitza txarra da norbaitek gakoa idazteko koadro baten bila zebilelako gertatzen denean.

Egiaztatu atebideak zer onartuko duen

Galdetu operadoreari urruneko sarbide-zerbitzuak gaur zer autentifikazio metodo eskaintzen dituen, ez zer onartzen duen produktuak oro har. PSK soilik konfiguratutako IKEv2 zerbitzu batek ez du ziurtagiririk onartuko bezeroak bat nahiago duelako.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Irakurri profilaren autentifikazio metodoa eta ziurtagirien biltegia elkarrekin. EAP-ra ezarritako profil batek, atzean erabilgarri den ziurtagiririk gabe, zerbitzariaren arazo baten itxura duen moduan egiten du huts.

Erantzuna PSK soilik dagoela bada, aukera zintzoak hura onartzen duen bezero onartu bat edo atebidearen autentifikazio-diseinuan aldaketa bat dira. Biak ez dira tokiko konponbide bat, eta kontrakoa planteatzeak konfiguratu zuenak bakarrik birsor dezakeen konexioa sortzen du.

Erregistratu erabakia eta sekretuak

Idatzi aukeratutako metodoa, konfiantza-ankla, hari dagokion identitatea eta aldaketa onartu zuen pertsona. Erregistro hori da gertaera-berrikuspenak behar duena, eta hurrengo ingeniariari hiri itsu berbera berriro aurkitzea eragozten diona ere bai.

Eduki sekretuak bereizita zure oharretan: kontu-pasahitza, gako pribatuaren pasaesaldia eta atebidearen aurrez partekatutako gakoa hiru gauza desberdinak dira, ezarpenen pantaila batek guztiak pasahitz deitzen dituenean ere. Haiek nahastea da gako bat txartel batera iristeko modua. Probatu lortutako profila konexio berri batekin eta baliabide pribatu baterako aplikazio-eskaera batekin. Zerbitzu irisgarririk gabeko tunel arrakastatsua emaitza partziala da, eta profila ez da amaitutzat deskribatu behar baliabideak ere funtzionatzen ez duen bitartean.