Windows में IKEv2 कस्टम नीति: इसे अलग चरण के रूप में लागू करें

प्रोविज़निंग पैकेज एक IKEv2 कनेक्शन बनाता है, और उससे बनने वाली प्रोफ़ाइल उस सूट के अलावा किसी और चीज़ पर बातचीत करती है जिसकी आपने अपेक्षा की थी। पैकेज ने अपना काम किया; उसमें कभी उस काम के लिए फ़ील्ड ही नहीं था जिसकी आपने धारणा बनाई थी। क्रिप्टो सूट को एक अलग और सत्यापन-योग्य प्रोविज़निंग चरण मानिए।

नीचे दिए पाँच बिंदुओं को क्रम से पूरा करें और स्वीकृति परिणामों को अलग रखें।

समान नामों के पीछे दो तरह की नीति

Windows उस नीति को, जो कुंजी-विनिमय की रक्षा करती है, उस नीति से अलग करता है जो ट्रैफ़िक की रक्षा करती है। IKE पक्ष एक एन्क्रिप्शन विधि और एक इंटीग्रिटी विधि से कॉन्फ़िगर होता है। डेटा पक्ष साइफ़र और ऑथेंटिकेशन ट्रांसफ़ॉर्म कॉन्स्टेंट से कॉन्फ़िगर होता है, और वे कॉन्स्टेंट अपने नाम इस्तेमाल करते हैं। गलत फ़ील्ड में कॉपी किया गया एक AES लेबल ऐसा कनेक्शन बनाता है जो ऐसी नीति के अंतर्गत स्थापित होता है जिसे किसी ने स्वीकृत नहीं किया।

कुंजी-विनिमय समूह और परफ़ेक्ट फ़ॉरवर्ड सीक्रेसी एक ही बातचीत के अंग हैं और गेटवे के लिए स्वीकार्य होने चाहिए। दूरस्थ सिरे की जाँच किए बिना उन्हें सेट करने पर उस चरण से बाद के चरण में विफलता आती है जिसे आप संपादित कर रहे थे, इसीलिए ये गलतियाँ गेटवे की समस्याएँ जैसी लगती हैं।

पूरी नीति बनाइए, दो एल्गोरिद्म नाम नहीं

हर फ़ील्ड स्पष्ट रूप से लिखें, उन्हें भी जिन्हें आप डिफ़ॉल्ट मानते हैं। फ़ोर्स फ़्लैग के साथ लागू आंशिक नीति सहेजा गया कॉन्फ़िगरेशन बन जाती है, और जो मान आपने छोड़े वे वही हैं जो उस क्षण प्लेटफ़ॉर्म के पास थे। एक ही उपसर्ग से शुरू होने वाले मान फ़ील्डों के बीच अदल-बदल योग्य नहीं हैं, और प्रसिद्ध ट्रांसफ़ॉर्म नामों में से एक केवल ऑथेंटिकेशन ट्रांसफ़ॉर्म के रूप में मान्य है।

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

उस ब्लॉक को एक उदाहरण सूट मानिए जिसे आपके दोनों पीयर को समर्थित करना होगा, सिफ़ारिश के रूप में नहीं। फ़ोर्स स्विच प्रॉम्प्ट दबा देता है; यह उस पैकेज को स्वीकृत नहीं करता जिसकी आपने समीक्षा नहीं की।

पहले बनाइए, फिर लागू कीजिए — एक ही दायरे में

नीति सेट करने से पहले कनेक्शन मौजूद होना चाहिए, और हर चरण में दायरा मेल खाना चाहिए। मशीन-संदर्भ वाला चरण केवल इसलिए किसी भी उपयोगकर्ता की निजी प्रोफ़ाइल नहीं खोज सकता कि प्रदर्शित नाम एक जैसा है। सभी-उपयोगकर्ता कनेक्शन, उपयोगकर्ता कनेक्शन और उनकी स्थिति निर्देशिकाएँ अलग नामों वाली अलग वस्तुएँ हैं।

क्रम प्रोविज़निंग पैकेज में दिखने से अधिक महत्वपूर्ण है, क्योंकि दो कमांड कनेक्शन बनने में लगने वाले समय से अधिक निकट चल सकते हैं। कॉन्फ़िगरेशन के बाद का काम घोषित निष्पादन संदर्भ वाले स्वीकृत प्रोविज़निंग कमांड के रूप में पैकेज करें, और अनुमानित देरी डालने के बजाय प्रोविज़निंग इंजन को उसका क्रम तय करने दें। आपके परीक्षण हार्डवेयर पर पर्याप्त लंबी नींद देरी से जुड़ी एक रेस शर्त है। अवधि नहीं, निर्भरता दर्ज करें।

प्रलेखित Configuration Designer फ़ील्ड एक VPN सेटिंग का वर्णन करते हैं और हर मूल IPsec नियंत्रण को उजागर नहीं करते। यदि आवश्यकता प्रबंधित डिलीवरी है, तो VPNv2 कॉन्फ़िगरेशन सेवा प्रदाता के पास ठीक इसी उद्देश्य के लिए क्रिप्टोग्राफ़ी सूट अनुभाग है।

नीति के लिए एक ही स्वामी नियुक्त करें

बाद का प्रबंधन-प्रोफ़ाइल अपडेट कनेक्शन फिर से बना सकता है और जो किसी स्क्रिप्ट ने लागू किया था उसे बदल सकता है, और वह प्रतिस्थापन गिरावट जैसा दिखेगा। तय करें कि सूट प्रोफ़ाइल की, स्क्रिप्ट की या प्रबंधन चैनल की है, और नियमित अपडेट पहले इंस्टॉलेशन वाला ही मार्ग अपनाएँ।

दो स्वामी तब किसी स्वामी के समान ही होते हैं जब दोनों असहमत हों। प्रोफ़ाइल के परिवर्तन रिकॉर्ड में स्वामी का नाम लिखें। अगला अपडेट वही करेगा जो वह रिकॉर्ड कहता है।

पैकेज नहीं, बातचीत से तय परिणाम सत्यापित करें

सहेजी गई प्रोफ़ाइल और उसका दायरा पढ़ें, फिर नया कनेक्शन स्थापित करें और गेटवे पर चुने गए प्रस्तावों की तुलना करें। कुंजी-नवीनीकरण का व्यवहार भी पुष्ट करें, क्योंकि शुरुआती हैंडशेक ऐसे सूट के साथ सफल हो सकता है जिसे बाद का चरण अस्वीकार करता है।

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

तीन स्वीकृति परिणाम एक ही घटना नहीं हैं: पैकेज इंस्टॉल हुआ, प्रोफ़ाइल इच्छित नीति के साथ मौजूद है, और पीयर ने उस पर बातचीत की। इन्हें अलग रखें, ताकि गायब फ़ील्ड कभी ऑथेंटिकेशन कमज़ोर करके या किसी के द्वारा न चुने गए फ़ॉलबैक को सक्षम करके ठीक न किया जाए।