Windows IKEv2 oanpaste belied: tapasse as in aparte stap

In foarsjoene ferbining en in oanpaste kryptografyske suite binne twa útkomsten. Bring de beliedfjilden, it profylberik en de eigner dy't se opnij tapast mei elkoar yn oerienstimming.

In provisioning-pakket makket in IKEv2-ferbining, en it resultearjende profyl ûnderhannelet oer eat oars as de suite dy't jo bedoelden. It pakket die syn wurk; it hie gewoan nea in fjild foar it wurk dat jo oannamen. Behannelje de kryptografyske suite as in aparte, ferifiearbere provisioning-stap.

Wurkje de fiif items hjirûnder yn folchoarder ôf, en hâld de akseptaasjeresultaten apart.

Twa soarten belied efter ferlykbere nammen

Windows skiedt it belied dat de kaai-útwikseling beskermet fan it belied dat it ferkear beskermet. De IKE-kant wurdt konfigurearre troch in fersiferingmetoade en in yntegriteitsmetoade. De gegevenskant wurdt konfigurearre troch cipher- en autentikaasje-transform-konstanten, en dy konstanten brûke har eigen nammen. Ien AES-label kopiearre yn it ferkearde fjild liedt ta in ferbining dy't oprjochte wurdt ûnder in belied dat nimmen goedkard hat.

Kaai-útwikselingsgroep en perfekte foarútgeande geheimhâlding hearre by deselde ûnderhanneling en moatte akseptabel wêze foar de gateway. Se ynstelle sûnder de fiere kant te kontrolearjen jout in flater yn in lettere faze as dy't jo bewurken, en dêrom lykje dizze flaters op gateway-problemen.

Bou in folslein belied, net twa algoritmenammen

Skriuw elk fjild eksplisyt, ek dy't jo as standertwearden beskôgje. In partiel belied tapast mei in twangflag wurdt de bewarre konfiguraasje, en de wearden dy't jo weilitten binne, binne wat it platfoarm op dat stuit hie. Wearden mei deselde foarheaksel binne net útwikselber tusken fjilden, en ien fan 'e bekende transformnammen jildt allinnich as autentikaasje-transform.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Behannelje dat blok as in yllustrative suite dy't beide jo peers stypje moatte, net as in oanbefelling. De twangskakel ûnderdrukt in fraach; hy goedkart gjin pakket dat jo net neisjoen hawwe.

Meitsje earst, tapas dêrnei — yn ien berik

De ferbining moat bestean foardat har belied ynsteld wurde kin, en it berik moat by elke stap oerienkomme. In stap yn masinekontekst kin it priveeprofyl fan in willekeurige brûker net fine allinnich om't de werjefte namme itselde is. Ferbiningen foar alle brûkers, brûkersferbiningen en har steatmapen binne aparte objekten mei aparte nammen.

De folchoarder is wichtiger as it liket yn in provisioning-pakket, om't twa opdrachten tichter byinoar rinne kinne as it meitsjen fan 'e ferbining duorret. Pak it wurk nei de konfiguraasje as in goedkarde provisioning-opdracht mei in ferklearre útfieringskontekst, en lit de provisioning-motor it oarders jaan ynstee fan in retten fertraging yn te foegjen. In sliep dy't lang genôch is op jo testhardware is in race-betingst mei in fertraging derby. Registrearje de ôfhinklikheid, net de doer.

De dokumintearre Configuration Designer-fjilden beskriuwe ien VPN-ynstelling en lizze net elke native IPsec-kontrôle bleat. As de eask in beheardere levering is, hat de VPNv2-konfiguraasjetsjinstferlienner in seksje foar kryptografyske suites krekt foar dit doel.

Wijs ien eigner ta foar it belied

In lettere bywurking fan it behearprofyl kin de ferbining opnij meitsje en ferfange wat in skript tapaste, en de ferfanging sil as in regression lykje. Beslis oft de suite eigendom is fan it profyl, fan in skript of fan it behearkanaal, en lit routinebywurkings deselde wei folgje as de earste ynstallaasje.

Twa eigners is itselde as gjin eigner as de twa it net iens binne. Skriuw de namme fan 'e eigner yn it feroaringsrecord fan it profyl. De folgjende bywurking folget wat dat record seit.

Ferifiearje it ûnderhannele resultaat, net it pakket

Lês it bewarre profyl en syn berik, meitsje dan in nije ferbining en fergelykje de keazen foarstellen by de gateway. Befêstigje ek it hâlden en dragen by kaai-ferfanging, want in earste hânskodding kin slagje mei in suite dy't in lettere faze wegere.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Trije akseptaasjeresultaten binne net deselde barren: it pakket is ynstallearre, it profyl bestiet mei it bedoelde belied, en de peers hawwe it ûnderhannele. Hâld se apart, sadat in ûntbrekkend fjild nea reparearre wurdt troch autentikaasje te ferswakjen of troch in fallback yn te skeakeljen dy't nimmen keazen hat.

Relatearre artikelen