Windows-en IKEv2 politika pertsonalizatua: aplikatu aparteko urrats gisa

Hornitutako konexio bat eta multzo kriptografiko pertsonalizatu bat bi emaitza dira. Egin bat politika-eremuak, profilaren esparrua eta berriro aplikatzen dituen jabea.

Hornidura-pakete batek IKEv2 konexio bat sortzen du, eta ondoriozko profilak zuk asmo zenuen multzoaz beste zerbait negoziatzen du. Paketeak bere lana egin zuen; ez zuen inoiz zuk suposatutako lanerako eremurik izan. Trata ezazu multzo kriptografikoa aparteko eta egiazta daitekeen hornidura-urrats gisa.

Joan beheko bost elementuak ordenan eta eduki onarpen-emaitzak bereizita.

Politika mota bi, izen antzekoen atzean

Windowsek gako-trukea babesten duen politika eta trafikoa babesten duen politika bereizten ditu. IKE aldea zifratze-metodo batekin eta osotasun-metodo batekin konfiguratzen da. Datuen aldea zifratzaile-konstanteekin eta autentifikazio-bihurketa-konstanteekin konfiguratzen da, eta konstante horiek beren izenak erabiltzen dituzte. Eremu okerrean kopiatutako AES etiketa bakar batek inork onartu ez zuen politika baten pean ezartzen den konexio bat sortzen du.

Gako-truke taldea eta aurreranzko sekretu perfektua negoziazio berari dagozkio eta atebidearentzat onargarri izan behar dute. Urruneko aldea egiaztatu gabe ezartzeak zuk editatzen ari zinen etapa baino beranduagoko batean huts egiten du, eta horregatik akats hauek atebidearen problema dirudite.

Eraiki politika oso bat, ez bi algoritmo-izen

Idatzi eremu bakoitza espresuki, lehenetsitakotzat dituzunak barne. Indar-banderekin aplikatutako politika partziala gordetako konfigurazioa bihurtzen da, eta utzi zenituen balioak plataformak une hartan zituenak dira. Aurrizki bera duten balioak ez dira eremuen artean trukagarriak, eta ezagutzen den bihurketa-izenetako bat autentifikazio-bihurketa gisa bakarrik da baliozkoa.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Trata ezazu bloke hori zure bi pareek onartu behar duten multzo ilustratibo gisa, ez gomendio gisa. Indar-etengailuak galdera bat isilarazten du; ez du berrikusi ez duzun pakete bat onartzen.

Lehenengo sortu, gero aplikatu — esparru bakarrean

Konexioak existitu behar du bere politika ezarri aurretik, eta esparruak urrats guztietan bat etorri behar du. Makina-kontestuko urrats batek ezin du edozein erabiltzaileren profil pribatua aurkitu pantaila-izena bera delako soilik. Erabiltzaile guztien konexioak, erabiltzaileen konexioak eta haien egoera-direktorioak objektu bereiziak dira, izen bereiziekin.

Ordenak uste baino garrantzi handiagoa du hornidura-pakete batean, bi komandok elkarrengandik hurbilago exekuta baitaitezke konexioa sortzeko behar dena baino. Enpaketatu konfigurazio osteko lana exekuzio-kontestu deklaratua duen hornidura-komando onartu gisa, eta utzi hornidura-motorrari hura sekuentziatzen, asmatutako atzerapen bat txertatu beharrean. Zure proba-hardwarean nahikoa luzea den loa lasterketa-baldintza da, atzerapen bat erantsita. Erregistratu mendekotasuna, ez iraupena.

Configuration Designer-en eremu dokumentatuek VPN ezarpen bat deskribatzen dute eta ez dituzte IPsec kontrol natibo guztiak agerian uzten. Baldintza kudeatutako entrega bada, VPNv2 konfigurazio-zerbitzu hornitzaileak multzo kriptografikorako atal bat du hain zuzen helburu horretarako.

Izenda ezazu politika bakarreko jabe bat

Kudeaketa-profilaren geroagoko eguneratze batek konexioa birsor dezake eta script batek aplikatutakoa ordezka dezake, eta ordezkapenak erregresio itxura izango du. Erabaki multzoa profilarena, script batena edo kudeaketa-kanalarena den, eta egin ohiko eguneratzeek lehen instalazioaren bide bera jarrai dezaten.

Bi jabe ez jaberik bezala dira biak ados ez daudenean. Idatzi jabearen izena profilaren aldaketa-erregistroan. Hurrengo eguneratzeak erregistro horrek dioena jarraituko du.

Egiaztatu negoziatutako emaitza, ez paketea

Irakurri gordetako profila eta haren esparrua, gero ezarri konexio berri bat eta alderatu hautatutako proposamenak atebidean. Berretsi gakoen berritze-jokabidea ere, hasierako esku-hemenduratzeak arrakasta izan baiteke etapa berantiar batek ukatzen duen multzo batekin.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Onarpen-emaitza hiru ez dira gertaera bera: paketea instalatu da, profila existitzen da aurreikusitako politikarekin, eta bikoteek negoziatu dute. Eduki itzazu bereizita, inoiz ere eremu bat falta bada ez dadin konpondu autentifikazioa ahulduz edo inork aukeratu ez zuen ordezko bat gaituz.

Erlazionatutako artikuluak