Windows-ում IKEv2-ի հատուկ քաղաքականություն՝ կիրառեք այն որպես առանձին քայլ

Մատակարարման փաթեթը ստեղծում է IKEv2 միացում, և ստացված պրոֆիլը բանակցում է մի բանի շուրջ, որը տարբերվում է ձեր նախատեսած հավաքածուից։ Փաթեթը կատարեց իր աշխատանքը. այն պարզապես երբեք չուներ դաշտ այն աշխատանքի համար, որը դուք ենթադրել էիք։ Վերաբերվեք գաղտնագրային հավաքածուին որպես առանձին և ստուգելի մատակարարման քայլ։

Անցեք ստորև նշված հինգ կետերը հերթականությամբ և ընդունման արդյունքները պահեք առանձին։

Երկու տեսակի քաղաքականություն նման անունների հետևում

Windows-ը առանձնացնում է բանալիների փոխանակումը պաշտպանող քաղաքականությունը տրաֆիկը պաշտպանող քաղաքականությունից։ IKE կողմը կարգավորվում է գաղտնագրման մեթոդով և ամբողջականության մեթոդով։ Տվյալների կողմը կարգավորվում է ծածկագրի և վավերացման ձևափոխման հաստատուններով, և այդ հաստատունները օգտագործում են իրենց անունները։ Սխալ դաշտում պատճենված մեկ AES պիտակ ստեղծում է միացում, որը հաստատվում է ոչ ոքի կողմից չհաստատված քաղաքականությամբ։

Բանալիների փոխանակման խումբը և կատարյալ առաջընթաց գաղտնիությունը պատկանում են նույն բանակցությանը և պետք է ընդունելի լինեն դարպասի համար։ Դրանք հեռավոր կողմը չստուգելով սահմանելը առաջացնում է ձախողում ավելի ուշ փուլում, քան այն, որը դուք խմբագրում էիք, և դրա համար է, որ այս սխալները նման են դարպասի խնդիրների։

Կառուցեք ամբողջական քաղաքականություն, ոչ թե երկու ալգորիթմի անուն

Գրեք յուրաքանչյուր դաշտ բացահայտ, ներառյալ նրանք, որոնք դուք լռելյայն եք համարում։ Ուժի դրոշակով կիրառված մասնակի քաղաքականությունը դառնում է պահված կարգաբերումը, և բաց թողած արժեքներն այն են, ինչ պլատֆորմը ուներ այդ պահին։ Նույն նախածանցով սկսվող արժեքները դաշտերի միջև փոխարինելի չեն, և հայտնի ձևափոխման անուններից մեկը վավեր է միայն որպես վավերացման ձևափոխում։

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Այդ բլոկը դիտարկեք որպես օրինակելի հավաքածու, որը պետք է աջակցեն ձեր երկու գործընկերները, ոչ որպես առաջարկություն։ Ուժի անջատիչը ճնշում է հարցումը՝ բայց չի հաստատում փաթեթ, որը դուք չեք վերանայել։

Նախ ստեղծեք, ապա կիրառեք մեկ շրջանակում

Միացումը պետք է գոյություն ունենա նախքան դրա քաղաքականությունը սահմանելը, և շրջանակը պետք է համընկնի յուրաքանչյուր քայլում։ Մեքենայի համատեքստում քայլը չի կարող գտնել կամայական օգտագործողի անձնական պրոֆիլը միայն այն պատճառով, որ ցուցադրվող անունը նույնն է։ Բոլոր օգտագործողների միացումները, օգտագործողի միացումները և դրանց վիճակի գրացուցակները առանձին անուններով առանձին օբյեկտներ են։

Հերթականությունը ավելի կարևոր է, քան թվում է մատակարարման փաթեթում, որովհետև երկու հրաման կարող են գործարկվել ավելի մոտ, քան տևում է միացման ստեղծումը։ Փաթեթավորեք կարգաբերումից հետո աշխատանքը որպես հաստատված մատակարարման հրաման՝ հայտարարված կատարման համատեքստով, և թույլ տվեք մատակարարման շարժիչին հերթականացնել այն՝ գուշակված ուշացում մտցնելու փոխարեն։ Ձեր փորձարկման սարքաշարում բավական երկար քունը մրցակցային պայման է՝ ուշացումով հանդերձ։ Գրանցեք կախվածությունը, ոչ թե տևողությունը։

Փաստաթղթավորված Configuration Designer դաշտերը նկարագրում են VPN-ի մեկ կարգավորում և չեն բացահայտում IPsec-ի բոլոր բնիկ կառավարումները։ Եթե պահանջը կառավարվող առաքումն է, VPNv2 կարգաբերման ծառայության մատակարարն ունի գաղտնագրային հավաքածուի բաժին հենց այդ նպատակի համար։

Նշեք քաղաքականության մեկ սեփականատեր

Ավելի ուշ կառավարման պրոֆիլի թարմացումը կարող է վերստեղծել միացումը և փոխարինել այն, ինչ կիրառել է սկրիպտը, և փոխարինումը նման կլինի հետընթացի։ Որոշեք՝ հավաքածուն պատկանում է պրոֆիլին, սկրիպտին, թե կառավարման ուղուն, և արեք այնպես, որ սովորական թարմացումները հետևեն առաջին տեղադրման նույն ուղուն։

Երկու սեփականատեր նույնն է, ինչ ոչ ոք, երբ երկուսը համաձայն չեն։ Գրեք սեփականատիրոջ անունը պրոֆիլի փոփոխությունների գրառման մեջ։ Հաջորդ թարմացումը կհետևի այն բանին, ինչ ասում է այդ գրառումը։

Ստուգեք բանակցված արդյունքը, ոչ թե փաթեթը

Կարդացեք պահված պրոֆիլը և դրա շրջանակը, ապա հաստատեք նոր միացում և համեմատեք ընտրված առաջարկները դարպասում։ Հաստատեք նաև բանալիների նորացման վարքը, որովհետև նախնական ձեռքսեղմումը կարող է հաջողվել մի հավաքածուի հետ, որը մերժում է ավելի ուշ փուլը։

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Ընդունման երեք արդյունք նույն իրադարձությունը չեն. փաթեթը տեղադրվեց, պրոֆիլը գոյություն ունի նախատեսված քաղաքականությամբ, և կողմերը բանակցեցին այն։ Պահեք դրանք առանձին, որպեսզի բացակայող դաշտը երբեք չշտկվի վավերացումը թուլացնելով կամ ոչ ոքի կողմից չընտրված պահուստային տարբերակ միացնելով։