Wêrom hat native Windows IKEv2 hielendal gjin PSK-fjild

De gatewaydokumintaasje seit dat de foarôf dielde kaai yn 'e klant giet, en it Windows-profil hat dêr gjin fjild foar. Dy kleau is gjin bug dy't men omgiet troch de kaai yn it wachtwurdfjild te typen. It is it ferskil tusken wat in protokol kin en wat in beskate ymplemintaasje biedt.

Protokolmooglikheid is gjin klantstipe

De IKEv2-spesifikaasje befettet ferifikaasje mei dielde kaai, dus in gateway kin dêr legitiem foar konfigurearre wurde. It native Windows-profil foar opôfstân tagong dokumintearret ynstee sertifikaat- en EAP-regelingen, en protokolmooglikheid makket gjin fjild, parameter of registerwearde oan dy't de klant nea hân hat.

Minsken komme meast by PowerShell-referinsje foar it tafoegjen fan in VPN-ferbining telâne, en dat toant L2tpPsk foar de L2TP-regeling. Dy parameter heart by L2TP en is gjin algemien IKEv2-geheim. Ynstellingen foar algoritmeseleksje kieze beskermingsparameters, wat in tredde, net besibbe ding is. De routingrol fan Windows Server is ek net itselde objekt. In serverynterface kin konfiguraasjekontrôles hawwe dy't in desktopklantprofil net hat, en in serverynstelling nei in wurkstasjonprofil kopiearje reproduisearret de mooglikheid net.

Kies tusken sertifikaat, EAP of L2TP

As de gatewayoperator sertifikaatferifikaasje akseptearret, is dat meast it skjinste doel: de klant leit in sertifikaat foar, it gateway falidearret it by in fertroude útjouwer, en gjin dield geheim sit yn in profil foar ien om te kopiearjen. It freget registraasje, in fertroude keatling en in gatewaykonfiguraasje dy't it sertifikaat oan in autorisaasjebeslissing keppelt.

EAP mei in brûkerslegitimaasje is it oare stipe paad op dizze klant, en it ferpleatst de beslissing nei in identiteitsleveransier. It bringt ek syn eigen ôfhinklikens, want de EAP-metoade, it serversertifikaat en it fertrouwen fan 'e klant yn dat sertifikaat moatte allegear oerienkomme. Oerstappe nei L2TP/IPsec allinnich om in fertroud fjild te krijen feroaret de protokolstapel. Dat is akseptabel as it in stipe kar is mei in dokumintearre reden, en it is in min resultaat as it bart om't immen in fakje socht om in kaai yn te typen.

Kontrolearje wat it gateway akseptearret

Freegje de operator hokker ferifikaasjemetoaden de opôfstânstsjinst hjoed biedt, net hokker it produkt yn 't algemien stipet. In tsjinst dy't foar IKEv2 allinnich mei PSK konfigurearre is, sil gjin sertifikaat akseptearje om't de klant ien foarkomt.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Lês de ferifikaasjemetoade fan it profil en it sertifikaatopslach tagelyk. In profil dat op EAP steld is sûnder in brûkber sertifikaat derachter mislearret op in wize dy't op in serverprobleem liket.

As it antwurd is dat allinnich PSK beskikber is, binne de earlike opsjes in goedkarde klant dy't it stipet of in feroaring oan it ferifikaasje-ûntwerp fan it gateway. Gjin fan beide is in pleatslike needoplossing, en oars beare jout in ferbining dy't allinnich dejinge dy't it konfigurearre hat, reprodusearje kin.

Skriuw de beslissing en de geheimen op

Skriuw de keazen metoade op, it fertrouwensanker, de identiteit dy't derby heart en de persoan dy't de feroaring goedkard hat. Dat ferslach is wat in ynsidintbesprek nedich is, en it is ek wat de folgjende yngenieur tsjinhâldt om itselde deade paad wer te ûntdekken.

Hâld de geheimen apart yn dyn notysjes: in akkountwachtwurd, in wachtwurdfoarbyld fan in priveekaai en in foarôf dielde gatewaykaai binne trije ferskillende dingen, sels as in ynstellingsskerm se allegear wachtwurd neamt. Se trochinoar helje is hoe't in kaai yn in ticket bedarret. Test it resultearjende profil mei in farske ferbining en ien applikaasjefersyk oan in privee boarne. In slagge tunnel sûnder berikbere tsjinst is in dielresultaat, en it profil moat net as klear beskreaun wurde oant de boarne ek wurket.