Hvers vegna hefur innbyggt Windows IKEv2 alls ekki PSK-reit

Skjöl gáttarinnar segja að fyrirfram sameiginlegi lykillinn fari í biðlarann, en Windows-sniðið hefur engan reit fyrir hann. Þetta bil er ekki villa sem sniðgengin er með því að slá lyklinum í lykilorðsreitinn. Það er munurinn á því sem samskiptaregla getur og því sem tiltekin útfærsla býður.

Hæfni samskiptareglunnar er ekki stuðningur biðlarans

Forskrift IKEv2 felur í sér auðkenningu með sameiginlegum lykli, svo hægt er að stilla gátt lögmætt fyrir það. Innbyggt Windows-snið fyrir fjartengingu skjalfestir þess í stað vottorðs- og EAP-fyrirkomulag, og hæfni samskiptareglunnar býr ekki til reit, færibreytu eða skráargildi sem biðlarinn hefur aldrei haft.

Fólk lendir venjulega á PowerShell-tilvísun til að bæta við VPN-tengingu, og þar er L2tpPsk sýnt fyrir L2TP-fyrirkomulagið. Sú færibreyta tilheyrir L2TP og er ekki almenn IKEv2-leyndarmál. Stillingar fyrir val reiknirita velja verndunarfæribreytur, sem er þriðji, ótengdur hluturinn. Hlutverk leiðarstýringar í Windows Server er heldur ekki sami hluturinn. Þjónarviðmót getur haft stillingarstýringar sem skjáborðsbiðlarasnið hefur ekki, og að afrita þjónastillingu í vinnustöðvasnið endurgerir ekki hæfnina.

Veldu á milli vottorðs, EAP eða L2TP

Ef rekstraraðili gáttarinnar samþykkir vottorðsauðkenningu er það venjulega hreinasti áfangastaðurinn: biðlarinn leggur fram vottorð, gáttin staðfestir það hjá traustum útgefanda og ekkert sameiginlegt leyndarmál situr í sniði sem einhver getur afritað. Það krefst skráningar, traustrar keðju og gáttarstillingar sem tengir vottorðið við heimildarákvörðun.

EAP með notandaskilríki er hin studda leið í þessum biðlara, og hún færir ákvörðunina til auðkennisveitanda. Hún kynnir einnig eigin háð, því EAP-aðferðin, þjónavottorðið og traust biðlarans á því vottorði verða öll að stemma. Að skipta yfir í L2TP/IPsec eingöngu til að fá kunnuglegan reit breytir samskiptastaflanum. Það er ásættanlegt þegar um er að ræða studda val með skjalfesta ástæðu, og það er slæm niðurstaða þegar það gerist af því að einhver leitaði að reit til að slá lykil í.

Athugaðu hvað gáttin samþykkir

Spurðu rekstraraðilann hvaða auðkenningaraðferðir fjartengingarþjónustan býður í dag, ekki hverjar varan styður almennt. Þjónusta sem er stillt fyrir IKEv2 aðeins með PSK samþykkir ekki vottorð af því að biðlarinn kýs eitt.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Lestu auðkenningaraðferð sniðsins og vottorðasafnið saman. Snið sem er stillt á EAP án nothæfs vottorðs að baki mistekst á þann hátt að það lítur út eins og þjónavandamál.

Ef svarið er að aðeins PSK sé í boði eru heiðarlegu valkostirnir samþykktur biðlari sem styður það eða breyting á auðkenningarhönnun gáttarinnar. Hvort tveggja er ekki staðbundið krókaleið, og að þykjast öðruvísi framleiðir tengingu sem aðeins sá sem stillti hana getur endurtekið.

Skráðu ákvörðunina og leyndarmálin

Skráðu valda aðferð, traustfestið, auðkennið sem henni tilheyrir og þann sem samþykkti breytinguna. Þessi skráning er það sem atvikayfirferð þarf, og hún kemur líka í veg fyrir að næsti verkfræðingur uppgötvi sama blindgötu aftur.

Haltu leyndarmálunum aðskildum í nótunum þínum: lykilorð reiknings, lykilorðssetning einkalykils og fyrirfram sameiginlegur lykill gáttar eru þrír ólíkir hlutir, jafnvel þegar stillingaskjár kallar þá alla lykilorð. Að rugla þeim saman er leiðin sem lykill endar í miða. Prófaðu sniðið sem verður til með nýrri tengingu og einni forritabeiðni á einkaaðföng. Árangursrík göng án aðgengilegrar þjónustu er hlutaárangur, og ekki á að lýsa sniðinu sem fullbúnu fyrr en auðlindin virkar líka.