Miksi natiivissa Windows IKEv2:ssa ei ole lainkaan PSK-kenttää

Yhdyskäytävän dokumentaatio sanoo, että esijaettu avain syötetään asiakkaaseen, mutta Windows-profiilissa ei ole sille kenttää. Tämä puute ei ole vika, joka kierretään kirjoittamalla avain salasanakenttään. Se on ero sen välillä, mihin protokolla pystyy, ja sen välillä, mitä tietty toteutus tarjoaa.

Protokollan kyky ei ole asiakastuki

IKEv2-määritys sisältää jaetun avaimen todennuksen, joten yhdyskäytävä voidaan laillisesti määrittää siihen. Windowsin natiivi etäkäyttöprofiili dokumentoi sen sijaan varmenne- ja EAP-järjestelyt, eikä protokollan kyky luo kenttää, parametria tai rekisteriarvoa, jota asiakkaalla ei koskaan ollut.

Ihmiset päätyvät yleensä sivulle PowerShell-viittaus VPN-yhteyden lisäämiseen, jossa näytetään L2tpPsk L2TP-järjestelyä varten. Tämä parametri kuuluu kohteelle L2TP eikä ole yleinen IKEv2-salaisuus. Algoritmin valinnan asetukset valitsevat suojausparametreja, mikä on kolmas, asiaankuulumaton asia. Windows Serverin reititysrooli ei myöskään ole sama objekti. Palvelinliitännässä voi olla määrityskontrolleja, joita työpöytäasiakasprofiilissa ei ole, eikä palvelinasetuksen kopioiminen työasemaprofiiliin toista kykyä.

Valitse varmenteen, EAP:n tai L2TP:n välillä

Jos yhdyskäytävän ylläpitäjä hyväksyy varmenne todentamisen, se on yleensä puhtain kohde: asiakas esittää varmenteen, yhdyskäytävä validoi sen luotetulla myöntäjällä eikä profiiliin jää jaettua salaisuutta kenenkään kopioitavaksi. Se vaatii rekisteröinnin, luotetun ketjun ja yhdyskäytävän määrityksen, joka yhdistää varmenteen valtuutuspäätökseen.

EAP käyttäjätunnuksella on tämän asiakkaan toinen tuettu polku, ja se siirtää päätöksen identiteettipalveluntarjoajalle. Se tuo mukanaan omat riippuvuutensa, koska EAP-menetelmän, palvelinvarmenteen ja asiakkaan kyseiseen varmenteeseen luottaman on kaikkien sovittava yhteen. Vaihtaminen L2TP/IPsec:iin pelkän tutun kentän saamiseksi muuttaa protokollapinoa. Se on hyväksyttävää, kun kyse on tuetusta valinnasta, jolla on dokumentoitu syy, ja huono tulos, kun se tapahtuu siksi, että joku etsi laatikkoa avaimen kirjoittamista varten.

Tarkista, mitä yhdyskäytävä hyväksyy

Kysy ylläpitäjältä, mitä todennusmenetelmiä etäkäyttöpalvelu tarjoaa tänään, älä sitä, mitä tuote tukee yleisesti. Palvelu, joka on määritetty IKEv2:lle vain PSK:lla, ei hyväksy varmennetta siksi, että asiakas suosii sellaista.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Lue profiilin todennusmenetelmä ja varmennevarasto yhdessä. EAP:hen asetettu profiili, jonka takana ei ole käyttökelpoista varmennetta, epäonnistuu tavalla, joka näyttää palvelinongelmalta.

Jos vastaus on, että vain PSK on saatavilla, rehelliset vaihtoehdot ovat sitä tukeva hyväksytty asiakas tai muutos yhdyskäytävän todennusratkaisussa. Kumpikaan ei ole paikallinen kiertotie, ja muuta väittäminen tuottaa yhteyden, jonka vain sen määrittänyt henkilö voi toistaa.

Kirjaa päätös ja salaisuudet

Kirjaa valittu menetelmä, luottamuksen ankkuri, siihen liittyvä identiteetti ja henkilö, joka hyväksyi muutoksen. Tämä kirjaus on se, mitä tapahtuman katselmointi tarvitsee, ja se myös estää seuraavaa insinööriä löytämästä samaa umpikujaa uudelleen.

Pidä salaisuudet erillään muistiinpanoissasi: tilin salasana, yksityisen avaimen salalause ja yhdyskäytävän esijaettu avain ovat kolme eri asiaa, vaikka asetusnäyttö kutsuisi niitä kaikkia salasanaksi. Niiden sekoittaminen on tapa, jolla avain päätyy tikettiin. Testaa syntynyt profiili tuoreella yhteydellä ja yhdellä sovelluspyynnöllä yksityiseen resurssiin. Onnistunut tunneli ilman tavoitettavaa palvelua on osittainen tulos, eikä profiilia pidä kuvata valmiiksi ennen kuin resurssikin toimii.