Perché il Windows IKEv2 nativo non ha alcun campo PSK

La documentazione del gateway dice che la chiave precondivisa va inserita nel client, ma il profilo Windows non ha alcun campo per essa. Questa lacuna non è un difetto da aggirare digitando la chiave nella casella della password. È la differenza tra ciò che un protocollo può fare e ciò che offre una determinata implementazione.

La capacità del protocollo non è supporto del client

La specifica IKEv2 include l’autenticazione con chiave condivisa, quindi un gateway può legittimamente essere configurato per essa. Il profilo nativo di accesso remoto di Windows documenta invece soluzioni con certificati ed EAP, e la capacità del protocollo non crea un campo, un parametro o un valore di registro che il client non abbia mai avuto.

Di solito si finisce su riferimento PowerShell per aggiungere una connessione VPN, che espone L2tpPsk per la soluzione L2TP. Quel parametro appartiene a L2TP e non è un segreto IKEv2 generale. Le impostazioni di selezione degli algoritmi scelgono parametri di protezione, che è una terza cosa non correlata. Anche il ruolo di routing di Windows Server non è lo stesso oggetto. Un’interfaccia server può avere controlli di configurazione che un profilo client desktop non ha, e copiare un’impostazione server in un profilo workstation non riproduce la capacità.

Scegliere tra certificato, EAP o L2TP

Se l’operatore del gateway accetta l’autenticazione con certificato, di solito è la destinazione più pulita: il client presenta un certificato, il gateway lo convalida presso un emittente attendibile e nessun segreto condiviso resta in un profilo perché qualcuno lo copi. Richiede registrazione, una catena attendibile e una configurazione del gateway che associ il certificato a una decisione di autorizzazione.

EAP con una credenziale utente è l’altra via supportata su questo client, e sposta la decisione su un provider di identità. Introduce anche le proprie dipendenze, perché il metodo EAP, il certificato del server e la fiducia del client in quel certificato devono allinearsi. Passare a L2TP/IPsec solo per ottenere un campo familiare cambia lo stack di protocolli. È accettabile quando è una scelta supportata con una ragione documentata, ed è un esito negativo quando accade perché qualcuno cercava una casella in cui digitare una chiave.

Verificare cosa accetterà il gateway

Chiedete all’operatore quali metodi di autenticazione offre oggi il servizio di accesso remoto, non quali supporta il prodotto in generale. Un servizio configurato per IKEv2 solo con PSK non accetterà un certificato perché il client ne preferisce uno.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Leggete insieme il metodo di autenticazione del profilo e l’archivio certificati. Un profilo impostato su EAP senza un certificato utilizzabile dietro fallisce in un modo che sembra un problema del server.

Se la risposta è che è disponibile solo PSK, le opzioni oneste sono un client approvato che lo supporti o una modifica al progetto di autenticazione del gateway. Nessuna delle due è una soluzione locale, e fingere il contrario produce una connessione che solo chi l’ha configurata può riprodurre.

Registrare la decisione e i segreti

Annotate il metodo scelto, l’ancora di fiducia, l’identità che vi corrisponde e la persona che ha approvato la modifica. Quel registro è ciò di cui ha bisogno una revisione degli incidenti, ed è anche ciò che impedisce all’ingegnere successivo di riscoprire lo stesso vicolo cieco.

Tenete separati i segreti nelle note: una password dell’account, una passphrase della chiave privata e una chiave precondivisa del gateway sono tre cose diverse, anche quando una schermata di impostazioni le chiama tutte password. Confonderle è il modo in cui una chiave finisce in un ticket. Provate il profilo risultante con una connessione nuova e una richiesta applicativa verso una risorsa privata. Un tunnel riuscito senza alcun servizio raggiungibile è un risultato parziale, e il profilo non va descritto come finito finché non funziona anche la risorsa.