سیاست سفارشی IKEv2 در ویندوز: آن را به‌عنوان گامی جداگانه اعمال کنید

یک بستهٔ تأمین، اتصال IKEv2 می‌سازد و نمایه‌ای که از آن حاصل می‌شود بر چیزی جز مجموعهٔ موردنظر شما توافق می‌کند. بسته کار خود را کرد؛ فقط هرگز فیلدی برای کاری که فرض کرده بودید نداشت. مجموعهٔ رمزنگاری را گامی جداگانه و قابل‌بررسی در تأمین بدانید.

پنج مورد زیر را به‌ترتیب انجام دهید و نتایج پذیرش را جدا نگه دارید.

دو نوع سیاست پشت نام‌های مشابه

ویندوز سیاستی را که از تبادل کلید محافظت می‌کند از سیاستی که از ترافیک محافظت می‌کند جدا می‌کند. سمت IKE با یک روش رمزگذاری و یک روش یکپارچگی پیکربندی می‌شود. سمت داده با ثابت‌های رمزنگار و ثابت‌های تبدیل احراز هویت پیکربندی می‌شود و این ثابت‌ها نام‌های خودشان را دارند. یک برچسب AES که در فیلد نادرست کپی شود، اتصالی می‌سازد که زیر سیاستی برقرار می‌شود که هیچ‌کس آن را تأیید نکرده است.

گروه تبادل کلید و رازداری کامل رو به جلو به همان مذاکره تعلق دارند و باید برای دروازه قابل‌پذیرش باشند. تنظیم آن‌ها بدون بررسی طرف دور، خرابی‌ای در مرحله‌ای دیرتر از مرحله‌ای که ویرایش می‌کردید تولید می‌کند و به همین دلیل این اشتباه‌ها مانند مشکلات دروازه به نظر می‌رسند.

یک سیاست کامل بسازید، نه دو نام الگوریتم

هر فیلد را صریح بنویسید، از جمله فیلدهایی که فکر می‌کنید پیش‌فرض هستند. سیاست ناقصی که با پرچم اجبار اعمال شود به پیکربندی ذخیره‌شده تبدیل می‌شود و مقادیری که جا انداختید همان چیزهایی هستند که پلتفرم در آن لحظه داشت. مقادیری که با پیشوند یکسان شروع می‌شوند میان فیلدها قابل‌تعویض نیستند و یکی از نام‌های شناخته‌شدهٔ تبدیل فقط به‌عنوان تبدیل احراز هویت معتبر است.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

آن بلوک را مجموعه‌ای نمونه بدانید که هر دو همتا باید از آن پشتیبانی کنند، نه یک توصیه. کلید اجبار یک پرسش را سرکوب می‌کند؛ بسته‌ای را که بررسی نکرده‌اید تأیید نمی‌کند.

نخست بسازید، سپس اعمال کنید — در یک محدوده

اتصال باید پیش از تنظیم سیاستش وجود داشته باشد و محدوده در هر گام باید یکسان باشد. گامی در زمینهٔ ماشین نمی‌تواند نمایهٔ خصوصی یک کاربر دلخواه را فقط به این دلیل که نام نمایشی یکسان است پیدا کند. اتصال‌های همهٔ کاربران، اتصال‌های کاربر و پوشه‌های وضعیت آن‌ها اشیایی جدا با نام‌های جدا هستند.

ترتیب بیش از آنچه در یک بستهٔ تأمین به نظر می‌رسد اهمیت دارد، زیرا دو فرمان می‌توانند نزدیک‌تر از زمانی که ساخت اتصال می‌برد اجرا شوند. کار پس از پیکربندی را به‌صورت فرمان تأمین تأییدشده با زمینهٔ اجرای اعلام‌شده بسته‌بندی کنید و بگذارید موتور تأمین آن را ترتیب دهد نه اینکه تأخیری حدسی درج کنید. خوابی که روی سخت‌افزار آزمون شما به‌اندازهٔ کافی طولانی است، یک شرایط مسابقه با تأخیری ضمیمه است. وابستگی را ثبت کنید، نه مدت را.

فیلدهای مستند Configuration Designer یک تنظیم VPN را توصیف می‌کنند و همهٔ کنترل‌های بومی IPsec را آشکار نمی‌کنند. اگر الزام، تحویل مدیریت‌شده باشد، ارائه‌دهندهٔ سرویس پیکربندی VPNv2 بخشی برای مجموعهٔ رمزنگاری دقیقاً برای همین منظور دارد.

یک مالک واحد برای سیاست تعیین کنید

به‌روزرسانی بعدی نمایهٔ مدیریت می‌تواند اتصال را دوباره بسازد و آنچه یک اسکریپت اعمال کرده را جایگزین کند و جایگزینی مانند یک پس‌رفت به نظر می‌رسد. تصمیم بگیرید مجموعه متعلق به نمایه، به یک اسکریپت یا به کانال مدیریت است و کاری کنید به‌روزرسانی‌های معمول همان مسیر نصب نخست را دنبال کنند.

دو مالک وقتی آن دو اختلاف دارند همان بی‌مالک است. نام مالک را در سابقهٔ تغییرات نمایه بنویسید. به‌روزرسانی بعدی از آنچه آن سابقه می‌گوید پیروی می‌کند.

نتیجهٔ مذاکره‌شده را بررسی کنید، نه بسته را

نمایهٔ ذخیره‌شده و محدودهٔ آن را بخوانید، سپس اتصال تازه‌ای برقرار کنید و پیشنهادهای انتخاب‌شده را در دروازه مقایسه کنید. رفتار تولید دوبارهٔ کلید را هم تأیید کنید، زیرا دست‌دادن نخست می‌تواند با مجموعه‌ای موفق شود که مرحلهٔ بعدی آن را رد می‌کند.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

سه نتیجهٔ پذیرش یک رویداد نیستند: بسته نصب شد، نمایه با سیاست موردنظر وجود دارد و همتاها بر آن مذاکره کردند. آن‌ها را جدا نگه دارید تا فیلدی که نیست هرگز با تضعیف احراز هویت یا با فعال‌کردن جایگزینی که هیچ‌کس انتخاب نکرده ترمیم نشود.