Windowsin mukautettu IKEv2-käytäntö: käytä sitä omana vaiheenaan

Provisionointipaketti luo IKEv2-yhteyden, ja siitä syntyvä profiili neuvottelee jotain muuta kuin suunnittelemasi kokonaisuus. Paketti teki tehtävänsä; siinä ei vain koskaan ollut kenttää sille työlle, jonka oletit. Käsittele salauskokonaisuutta erillisenä, todennettavana provisionointivaiheena.

Käy alla olevat viisi kohtaa järjestyksessä läpi ja pidä hyväksyntätulokset erillään.

Kaksi käytäntötyyppiä samankaltaisten nimien takana

Windows erottaa avaintenvaihtoa suojaavan käytännön liikennettä suojaavasta käytännöstä. IKE-puoli määritetään salausmenetelmällä ja eheysmenetelmällä. Tietopuoli määritetään salaimen ja todennuksen muunnoksen vakioilla, ja nuo vakiot käyttävät omia nimiään. Yksi väärään kenttään kopioitu AES-tunniste tuottaa yhteyden, joka muodostetaan käytännöllä, jota kukaan ei hyväksynyt.

Avaintenvaihtoryhmä ja täydellinen eteenpäin suuntautuva salaisuus kuuluvat samaan neuvotteluun ja niiden on oltava yhdyskäytävälle hyväksyttäviä. Niiden asettaminen tarkistamatta kaukopäätä tuottaa vian myöhemmässä vaiheessa kuin se, jota muokkasit, ja siksi nämä virheet näyttävät yhdyskäytävän ongelmilta.

Rakenna täydellinen käytäntö, älä kahta algoritmin nimeä

Kirjoita jokainen kenttä eksplisiittisesti, myös ne, joita pidät oletusarvoina. Osittainen käytäntö pakotuslipulla sovellettuna tulee tallennetuksi kokoonpanoksi, ja pois jättämäsi arvot ovat ne, jotka alustalla oli sillä hetkellä. Samalla etuliitteellä alkavat arvot eivät ole vaihdettavissa kenttien välillä, ja yksi tunnetuista muunnoksen nimistä on kelvollinen vain todennuksen muunnoksena.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Pidä tuota lohkoa havainnollistavana kokonaisuutena, jota molempien vastapuolten on tuettava, älä suosituksena. Pakotuskytkin vaimentaa kehotteen; se ei hyväksy pakettia, jota et ole tarkistanut.

Luo ensin, sovella sitten — yhdessä laajuudessa

Yhteyden on oltava olemassa ennen kuin sen käytäntö voidaan asettaa, ja laajuuden on vastattava joka vaiheessa. Konekontekstin vaihe ei löydä mielivaltaisen käyttäjän yksityistä profiilia vain siksi, että näyttönimi on sama. Kaikkien käyttäjien yhteydet, käyttäjäyhteydet ja niiden tilahakemistot ovat erillisiä objekteja erillisillä nimillä.

Järjestys on tärkeämpi kuin miltä se provisionointipaketissa näyttää, koska kaksi komentoa voi suorittua lähempänä toisiaan kuin yhteyden luominen kestää. Pakkaa kokoonpanon jälkeinen työ hyväksytyksi provisionointikomennoksi, jolla on ilmoitettu suorituskonteksti, ja anna provisionointimoottorin järjestää se sen sijaan, että lisäisit arvatun viiveen. Uni, joka on testilaitteistollasi tarpeeksi pitkä, on kilpatilanne, johon on liitetty viive. Kirjaa riippuvuus, älä kestoa.

Dokumentoidut Configuration Designer -kentät kuvaavat yhtä VPN-asetusta eivätkä paljasta kaikkia alkuperäisiä IPsec-ohjaimia. Jos vaatimus on hallittu toimitus, VPNv2-konfiguraatiopalvelun tarjoajalla on salauskokonaisuuden osio juuri tätä tarkoitusta varten.

Nimeä käytännölle yksi omistaja

Myöhempi hallintaprofiilin päivitys voi luoda yhteyden uudelleen ja korvata sen, mitä skripti sovelsi, ja korvaaminen näyttää taantumalta. Päätä, omistaako kokonaisuuden profiili, skripti vai hallintakanava, ja tee niin, että rutiinipäivitykset seuraavat samaa polkua kuin ensimmäinen asennus.

Kaksi omistajaa on sama kuin ei omistajaa, kun ne kaksi ovat eri mieltä. Kirjoita omistajan nimi profiilin muutoslokitietueeseen. Seuraava päivitys seuraa sitä, mitä kyseinen tietue sanoo.

Varmista neuvoteltu tulos, älä pakettia

Lue tallennettu profiili ja sen laajuus, muodosta sitten uusi yhteys ja vertaa valittuja ehdotuksia yhdyskäytävällä. Vahvista myös avainten uusinnan toiminta, koska ensimmäinen kättely voi onnistua kokonaisuudella, jonka myöhempi vaihe hylkää.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Kolme hyväksyntätulosta eivät ole sama tapahtuma: paketti asennettiin, profiili on olemassa aiottu käytäntö mukaan lukien ja osapuolet neuvottelivat sen. Pidä ne erillään, jotta puuttuvaa kenttää ei koskaan korjata heikentämällä todentamista tai ottamalla käyttöön varavaihtoehtoa, jota kukaan ei valinnut.