Ինչու բնիկ Windows IKEv2-ում ընդհանրապես PSK դաշտ չկա

Դարպասի փաստաթղթերն ասում են, որ նախնական համօգտագործվող բանալին մուտքագրվում է հաճախորդում, սակայն Windows-ի պրոֆիլում դրա համար դաշտ չկա։ Այդ բացը սխալ չէ, որը շրջանցվում է բանալին գաղտնաբառի դաշտում գրելով։ Սա տարբերությունն է այն բանի միջև, ինչ արձանագրությունը կարող է անել, և ինչ տալիս է կոնկրետ իրականացումը։

Արձանագրության հնարավորությունը հաճախորդի աջակցություն չէ

IKEv2 ճշգրտությունը ներառում է համօգտագործվող բանալիով իսկորոշում, ուստի դարպասը օրինականորեն կարող է կարգավորվել դրա համար։ Windows-ի հեռահար մուտքի բնիկ պրոֆիլը փոխարենը փաստաթղթավորում է վկայագրի և EAP տարբերակներ, և արձանագրության հնարավորությունը չի ստեղծում դաշտ, պարամետր կամ գրանցամատյանի արժեք, որը հաճախորդը երբեք չի ունեցել։

Մարդիկ սովորաբար հասնում են PowerShell-ի տեղեկագիրք VPN կապ ավելացնելու համար էջին, որտեղ L2TP տարբերակի համար ցուցադրված է L2tpPsk։ Այդ պարամետրը պատկանում է L2TP-ին և ընդհանուր IKEv2 գաղտնիք չէ։ Ալգորիթմի ընտրության կարգավորումները ընտրում են պաշտպանության պարամետրեր, ինչը երրորդ, անկապ բան է։ Windows Server-ի երթուղավորման դերը նույնպես նույն օբյեկտը չէ։ Սերվերի միջերեսը կարող է ունենալ կարգավորման կառավարիչներ, որոնք աշխատասեղանի հաճախորդի պրոֆիլը չունի, և սերվերի կարգավորումը աշխատակայանի պրոֆիլ պատճենելը չի վերարտադրում այդ հնարավորությունը։

Ընտրեք վկայագիր, EAP կամ L2TP

Եթե դարպասի օպերատորը ընդունի վկայագրով իսկորոշում, դա սովորաբար ամենամաքուր նպատակակետն է. հաճախորդը ներկայացնում է վկայագիր, դարպասը ստուգում է այն վստահելի թողարկողի մոտ, և պրոֆիլում ոչ մի համօգտագործվող գաղտնիք չի մնում, որ ինչ-որ մեկը պատճենի։ Դա պահանջում է գրանցում, վստահելի շղթա և դարպասի կարգավորում, որը վկայագիրը կապում է լիազորման որոշմանը։

Օգտատիրոջ հավատարմագրով EAP-ն այս հաճախորդում երկրորդ աջակցվող ուղին է, և որոշումը տեղափոխում է ինքնության մատակարարի։ Այն նաև բերում է իր կախվածությունները, քանի որ EAP մեթոդը, սերվերի վկայագիրը և հաճախորդի վստահությունն այդ վկայագրին պետք է համընկնեն։ Միայն ծանոթ դաշտ ստանալու համար L2TP/IPsec-ին անցնելը փոխում է արձանագրությունների փաթեթը։ Դա ընդունելի է, երբ փաստաթղթավորված պատճառով աջակցվող ընտրություն է, և վատ արդյունք է, երբ տեղի է ունենում, որովհետև ինչ-որ մեկը բանալի գրելու տուփ էր փնտրում։

Ստուգեք, թե ինչ կընդունի դարպասը

Հարցրեք օպերատորին, թե հեռահար մուտքի ծառայությունն այսօր ինչ իսկորոշման մեթոդներ է առաջարկում, ոչ թե թե արտադրանքն ընդհանուր առմամբ ինչն է աջակցում։ Միայն PSK-ով կարգավորված IKEv2 ծառայությունը վկայագիր չի ընդունի, որովհետև հաճախորդը նախընտրում է այն։

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Կարդացեք պրոֆիլի իսկորոշման մեթոդը և վկայագրերի պահոցը միասին։ EAP-ի վրա դրված պրոֆիլը, որի հետևում օգտագործելի վկայագիր չկա, ձախողվում է այնպես, որ սերվերի խնդրի տեսք ունի։

Եթե պատասխանն այն է, որ հասանելի է միայն PSK-ն, ազնիվ տարբերակներն են այն աջակցող հաստատված հաճախորդը կամ դարպասի իսկորոշման ձևավորման փոփոխությունը։ Ոչ մեկը տեղական շրջանցում չէ, և հակառակը պնդելը ստեղծում է կապ, որը կարող է վերարտադրել միայն այն կարգավորողը։

Գրանցեք որոշումը և գաղտնիքները

Գրեք ընտրված մեթոդը, վստահության խարիսխը, դրան համապատասխան ինքնությունը և փոփոխությունը հաստատած անձը։ Այդ գրառումն է, ինչ պետք է միջադեպի վերանայմանը, և այն է, ինչը հետևյալ ինժեներին թույլ չի տալիս նորից գտնել նույն փակուղին։

Ձեր գրառումներում գաղտնիքները առանձին պահեք. հաշվի գաղտնաբառը, անձնական բանալու գաղտնաբառային արտահայտությունը և դարպասի նախնական համօգտագործվող բանալին երեք տարբեր բաներ են, նույնիսկ երբ կարգավորումների էկրանը բոլորին գաղտնաբառ է անվանում։ Դրանք շփոթելն այն ճանապարհն է, որով բանալին հայտնվում է տոմսում։ Փորձարկեք ստացված պրոֆիլը թարմ կապով և մեկ հավելվածի հարցումով դեպի անձնական ռեսուրս։ Հասանելի ծառայություն չունեցող հաջող թունելը մասնակի արդյունք է, և պրոֆիլը չպետք է նկարագրվի որպես ավարտված, քանի դեռ ռեսուրսը նույնպես չի աշխատում։