Windows IKEv2 egyéni szabályzat: külön lépésként alkalmazza

Egy kiépített kapcsolat és egy egyéni kriptográfiai készlet két eredmény. Hangolja össze a szabályzat mezőit, a profil hatókörét és az őket újra alkalmazó tulajdonost.

A kiépítési csomag létrehoz egy IKEv2-kapcsolatot, és az abból származó profil valami mást tárgyal, mint a tervezett csomagkészlet. A csomag elvégezte a dolgát; egyszerűen soha nem volt mezője ahhoz a feladathoz, amelyet feltételezett. Kezelje a kriptográfiai készletet külön, ellenőrizhető kiépítési lépésként.

Vegye sorra az alábbi öt pontot, és tartsa külön az elfogadási eredményeket.

Kétféle szabályzat hasonló nevek mögött

A Windows különválasztja a kulcscserét védő szabályzatot a forgalmat védő szabályzattól. Az IKE-oldalt egy titkosítási módszer és egy sértetlenségi módszer állítja be. Az adatoldalt titkosító és hitelesítési transzformációs konstansok állítják be, és ezek a konstansok saját neveiket használják. Egyetlen AES-címke rossz mezőbe másolva olyan kapcsolatot hoz létre, amely olyan szabályzat alatt jön létre, amelyet senki nem hagyott jóvá.

A kulcscsere-csoport és a tökéletes előrehaladó titoktartás ugyanahhoz a tárgyaláshoz tartozik, és elfogadhatónak kell lennie az átjáró számára. Beállításuk a távoli fél ellenőrzése nélkül a szerkesztett szakasznál későbbi szakaszban okoz hibát, ezért ezek a hibák átjáróproblémának tűnnek.

Teljes szabályzatot építsen, ne két algoritmusnevet

Minden mezőt kifejezetten írjon le, azokat is, amelyeket alapértelmezettnek hisz. A kényszerítő jelzővel alkalmazott részleges szabályzat lesz a mentett konfiguráció, és a kihagyott értékek azok, amelyekkel a platform abban a pillanatban rendelkezett. Az azonos előtaggal kezdődő értékek mezők között nem cserélhetők fel, és az ismert transzformációs nevek egyike csak hitelesítési transzformációként érvényes.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Tekintse azt a blokkot szemléltető készletnek, amelyet mindkét félnek támogatnia kell, nem ajánlásnak. A kényszerítő kapcsoló elnyom egy kérést; nem hagy jóvá olyan csomagot, amelyet nem vizsgált át.

Először hozza létre, aztán alkalmazza — egy hatókörben

A kapcsolatnak léteznie kell, mielőtt a szabályzata beállítható, és a hatókörnek minden lépésben egyeznie kell. A gépkörnyezetű lépés nem találja meg egy tetszőleges felhasználó privát profilját csak azért, mert a megjelenített név ugyanaz. A minden felhasználóra érvényes kapcsolatok, a felhasználói kapcsolatok és állapotkönyvtáraik külön nevekkel rendelkező külön objektumok.

A sorrend fontosabb, mint amilyennek egy kiépítési csomagban látszik, mert két parancs közelebb futhat egymáshoz, mint amennyi idő a kapcsolat létrehozásához kell. Csomagolja a konfiguráció utáni munkát jóváhagyott kiépítési parancsként, deklarált végrehajtási környezettel, és hagyja, hogy a kiépítő motor sorrendezze, ahelyett hogy becsült késleltetést szúrna be. Az a várakozás, amely a teszthardverén elég hosszú, versenyhelyzet késleltetéssel kiegészítve. A függőséget rögzítse, ne az időtartamot.

A dokumentált Configuration Designer mezők egy VPN-beállítást írnak le, és nem tesznek elérhetővé minden natív IPsec-vezérlőt. Ha a követelmény felügyelt szállítás, a VPNv2 konfigurációs szolgáltatás szolgáltatójának van kriptográfiai készlet szakasza pontosan erre a célra.

Nevezzen meg egyetlen tulajdonost a szabályzathoz

Egy későbbi felügyeletiprofil-frissítés újra létrehozhatja a kapcsolatot, és lecserélheti azt, amit egy szkript alkalmazott, és a csere visszaesésnek fog tűnni. Döntse el, hogy a készlet a profilhoz, egy szkripthez vagy a felügyeleti csatornához tartozik, és tegye lehetővé, hogy a rutinfrissítések ugyanazt az utat kövessék, mint az első telepítés.

Két tulajdonos ugyanaz, mint egy sem, ha a kettő nem ért egyet. Írja be a tulajdonos nevét a profil változási rekordjába. A következő frissítés azt fogja követni, amit ez a rekord mond.

A tárgyalt eredményt ellenőrizze, ne a csomagot

Olvassa ki a mentett profilt és annak hatókörét, majd hozzon létre új kapcsolatot, és hasonlítsa össze a kiválasztott javaslatokat az átjárón. Erősítse meg a kulcsújraképzés viselkedését is, mert egy kezdeti kézfogás sikerülhet olyan készlettel, amelyet egy későbbi fázis elutasít.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Három elfogadási eredmény nem ugyanaz az esemény: a csomag telepítve lett, a profil létezik a tervezett szabályzattal, és a felek megtárgyalták azt. Tartsa őket külön, hogy egy hiányzó mezőt soha ne javítsanak a hitelesítés gyengítésével vagy olyan tartalék engedélyezésével, amelyet senki nem választott.

Kapcsolódó cikkek