Directiva personalizada de IKEv2 en Windows: aplíquea como paso propio

Un paquete de aprovisionamento crea unha conexión IKEv2 e o perfil resultante negocia algo distinto do conxunto que vostede tiña previsto. O paquete fixo o seu traballo; simplemente nunca tivo un campo para a tarefa que vostede supuxo. Trate o conxunto criptográfico como un paso de aprovisionamento separado e verificable.

Percorra os cinco puntos de abaixo en orde e manteña separados os resultados de aceptación.

Dous tipos de directiva detrás de nomes semellantes

Windows separa a directiva que protexe o intercambio de claves da directiva que protexe o tráfico. O lado IKE configúrase cun método de cifrado e un método de integridade. O lado de datos configúrase con constantes de cifrador e de transformación de autenticación, e esas constantes usan nomes propios. Unha soa etiqueta AES copiada no campo equivocado produce unha conexión que se establece baixo unha directiva que ninguén aprobou.

O grupo de intercambio de claves e o segredo perfecto cara a adiante pertencen á mesma negociación e deben ser aceptables para a pasarela. Configuralos sen comprobar o extremo remoto produce un fallo nunha etapa posterior á que estaba editando, e por iso estes erros parecen problemas da pasarela.

Constitúa unha directiva completa, non dous nomes de algoritmo

Escriba cada campo de forma explícita, incluídos os que cre que son valores predeterminados. Unha directiva parcial aplicada cun indicador de forzado convértese na configuración gardada, e os valores que omitiu son os que a plataforma tiña nese momento. Os valores que comezan polo mesmo prefixo non son intercambiables entre campos, e un dos nomes de transformación coñecidos só é válido como transformación de autenticación.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Trate ese bloque como un conxunto ilustrativo que ambos os pares deben admitir, non como unha recomendación. O conmutador de forzado suprime un aviso; non aproba un paquete que vostede non revisou.

Primeiro cree, despois aplique — nun só ámbito

A conexión debe existir antes de que se poida establecer a súa directiva, e o ámbito debe coincidir en cada paso. Un paso en contexto de máquina non pode atopar o perfil privado dun usuario arbitrario só porque o nome visible sexa o mesmo. As conexións para todos os usuarios, as conexións de usuario e os seus directorios de estado son obxectos separados con nomes separados.

A orde importa máis do que parece nun paquete de aprovisionamento, porque dous comandos poden executarse máis preto do que tarda en crearse a conexión. Empaquete o traballo posterior á configuración como un comando de aprovisionamento aprobado cun contexto de execución declarado, e deixe que o motor de aprovisionamento o secuencie en lugar de inserir un atraso suposto. Unha espera suficientemente longa no seu hardware de probas é unha condición de carreira cun atraso engadido. Rexistre a dependencia en lugar da duración.

Os campos documentados do Configuration Designer describen un axuste de VPN e non expoñen todos os controis nativos de IPsec. Se o requisito é unha entrega xestionada, o provedor de servizo de configuración VPNv2 ten unha sección de conxunto criptográfico xusto para ese propósito.

Nomee un único propietario da directiva

Unha actualización posterior do perfil de xestión pode recrear a conexión e substituír o que aplicou un script, e a substitución parecerá unha regresión. Decida se o conxunto pertence ao perfil, a un script ou á canle de xestión, e faga que as actualizacións rutineiras sigan a mesma ruta que a primeira instalación.

Dous propietarios son o mesmo que ningún cando os dous non coinciden. Escriba o nome do propietario no rexistro de cambios do perfil. A próxima actualización seguirá o que diga ese rexistro.

Verifique o resultado negociado, non o paquete

Lea o perfil gardado e o seu ámbito, despois estableza unha conexión nova e compare as propostas seleccionadas na pasarela. Confirme tamén o comportamento de renovación de claves, porque un apretón de mans inicial pode ter éxito cun conxunto que unha fase posterior rexeita.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tres resultados de aceptación non son o mesmo suceso: o paquete instalouse, o perfil existe coa directiva prevista e os pares negociárono. Mantéñaos separados, para que un campo ausente nunca se repare debilitando a autenticación nin habilitando unha alternativa que ninguén escolleu.