Windows IKEv2 prilagođena politika: primijenite je kao zaseban korak

Provizionirana veza i prilagođeni kriptografski skup dva su odvojena ishoda. Uskladite polja politike, obuhvat profila i vlasnika koji ih ponovo primjenjuje.

Paket za provizioniranje stvara IKEv2 vezu, a dobijeni profil pregovara nešto drugo od skupa koji ste namjeravali. Paket je odradio svoj posao; samo nikada nije imao polje za posao koji ste pretpostavili. Tretirajte kriptografski skup kao zaseban korak provizioniranja koji se može provjeriti.

Prođite kroz pet stavki ispod redom i držite rezultate prihvatanja odvojenim.

Dvije vrste politike iza sličnih naziva

Windows razdvaja politiku koja štiti razmjenu ključeva od politike koja štiti saobraćaj. Strana IKE konfiguriše se metodom šifrovanja i metodom integriteta. Strana podataka konfiguriše se konstantama šifre i konstantama transformacije autentifikacije, a te konstante koriste vlastita imena. Jedna AES oznaka kopirana u pogrešno polje stvara vezu koja se uspostavlja po politici koju niko nije odobrio.

Grupa za razmjenu ključeva i savršena unaprijedna tajnost pripadaju istom pregovaranju i moraju biti prihvatljive za gateway. Njihovo postavljanje bez provjere udaljene strane daje neuspjeh u kasnijoj fazi od one koju ste uređivali, i zato ove greške izgledaju kao problemi gatewaya.

Sastavite potpunu politiku, a ne dva naziva algoritama

Upišite svako polje izričito, uključujući ona koja smatrate zadanim. Djelimična politika primijenjena sa zastavicom prisile postaje sačuvana konfiguracija, a vrijednosti koje ste izostavili su ono što je platforma imala u tom trenutku. Vrijednosti s istim prefiksom nisu zamjenjive između polja, a jedan od poznatih naziva transformacije vrijedi samo kao transformacija autentifikacije.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Taj blok tretirajte kao ilustrativni skup koji oba vaša partnera moraju podržavati, ne kao preporuku. Prekidač prisile potiskuje upit; on ne odobrava paket koji niste pregledali.

Prvo kreirajte, zatim primijenite — u jednom obuhvatu

Veza mora postojati prije nego što se politika može postaviti, a obuhvat se mora podudarati u svakom koraku. Korak u kontekstu mašine ne može naći privatni profil proizvoljnog korisnika samo zato što je prikazano ime isto. Veze za sve korisnike, korisničke veze i njihovi direktoriji stanja odvojeni su objekti s odvojenim imenima.

Redoslijed je važniji nego što izgleda u paketu za provizioniranje, jer dvije naredbe mogu proći bliže jedna drugoj nego što je potrebno za stvaranje veze. Zapakujte rad nakon konfiguracije kao odobrenu naredbu provizioniranja s deklarisanim kontekstom izvršavanja i pustite provizijski motor da je rasporedi umjesto umetanja pretpostavljenog kašnjenja. Pauza dovoljno duga na vašem testnom hardveru jeste stanje utrke s pridodatim kašnjenjem. Zabilježite zavisnost, a ne trajanje.

Dokumentovana polja Configuration Designer opisuju jednu VPN postavku i ne izlažu svaku izvornu IPsec kontrolu. Ako je zahtjev upravljana isporuka, pružalac konfiguracijske usluge VPNv2 ima odjeljak kriptografskog skupa upravo za tu svrhu.

Odredite jednog vlasnika politike

Kasnije ažuriranje profila upravljanja može ponovo stvoriti vezu i zamijeniti sve što je skripta primijenila, a zamjena će izgledati kao regresija. Odlučite da li skup posjeduje profil, skripta ili kanal upravljanja, i učinite da rutinska ažuriranja slijede isti put kao prva instalacija.

Dva vlasnika isto je što i nijedan kada se njih dvojica ne slažu. Upišite ime vlasnika u zapis promjena profila. Sljedeće ažuriranje slijedit će ono što taj zapis kaže.

Provjerite pregovarani rezultat, a ne paket

Pročitajte sačuvani profil i njegov obuhvat, zatim uspostavite novu vezu i uporedite odabrane prijedloge na gatewayu. Potvrdite i ponašanje pri obnovi ključeva, jer početno rukovanje može uspjeti sa skupom koji kasnija faza odbija.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tri rezultata prihvatanja nisu isti događaj: paket je instaliran, profil postoji s predviđenom politikom i strane su se o njoj dogovorile. Držite ih odvojenim, tako da se nedostajuće polje nikada ne popravlja slabljenjem autentifikacije ni uključivanjem rezervne opcije koju niko nije odabrao.

Povezani članci