რატომ არ აქვს ბუნებრივ Windows IKEv2-ს საერთოდ PSK ველი

კარიბჭის დოკუმენტაცია ამბობს, რომ წინასწარ საზიარო გასაღები კლიენტში იწერება, მაგრამ Windows-ის პროფილს ამისთვის ველი არ აქვს. ეს ხარვეზი არ არის შეცდომა, რომელსაც პაროლის ველში გასაღების აკრეფით გვერდს უვლიან. ეს არის სხვაობა იმას შორის, რაც პროტოკოლს შეუძლია და რასაც კონკრეტული იმპლემენტაცია გვთავაზობს.

პროტოკოლის შესაძლებლობა კლიენტის მხარდაჭერა არ არის

IKEv2-ის სპეციფიკაცია მოიცავს საზიარო გასაღებით ავთენტიფიკაციას, ამიტომ კარიბჭე კანონიერად შეიძლება ამისთვის კონფიგურირდეს. Windows-ის შორეული წვდომის ბუნებრივი პროფილი სამაგიეროდ აღწერს სერტიფიკატისა და EAP-ის ვარიანტებს, და პროტოკოლის შესაძლებლობა არ ქმნის ველს, პარამეტრს ან რეესტრის მნიშვნელობას, რომელიც კლიენტს არასდროს ჰქონია.

ადამიანები ჩვეულებრივ PowerShell-ის ცნობარი VPN კავშირის დასამატებლად გვერდზე ხვდებიან, და იქ L2TP ვარიანტისთვის L2tpPsk არის ნაჩვენები. ეს პარამეტრი L2TP-ს ეკუთვნის და არ არის ზოგადი IKEv2 საიდუმლო. ალგორითმის არჩევის პარამეტრები ირჩევს დაცვის პარამეტრებს, რაც მესამე, დაუკავშირებელი საკითხია. Windows Server-ის მარშრუტიზაციის როლიც არ არის იგივე ობიექტი. სერვერის ინტერფეისს შეიძლება ჰქონდეს კონფიგურაციის კონტროლი, რომელიც დესკტოპის კლიენტის პროფილს არ აქვს, და სერვერის პარამეტრის სამუშაო სადგურის პროფილში კოპირება ამ შესაძლებლობას არ ამრავლებს.

აირჩიეთ სერტიფიკატი, EAP ან L2TP

თუ კარიბჭის ოპერატორი მიიღებს სერტიფიკატით ავთენტიფიკაციას, ეს ჩვეულებრივ ყველაზე სუფთა დანიშნულებაა: კლიენტი წარადგენს სერტიფიკატს, კარიბჭე ამოწმებს მას სანდო გამომცემელთან, და პროფილში არ რჩება საზიარო საიდუმლო, რომ ვინმემ დააკოპიროს. ეს მოითხოვს რეგისტრაციას, სანდო ჯაჭვს და კარიბჭის კონფიგურაციას, რომელიც სერტიფიკატს ავტორიზაციის გადაწყვეტილებას უკავშირებს.

მომხმარებლის სერტიფიკატით EAP ამ კლიენტზე მეორე მხარდაჭერილი გზაა, და გადაწყვეტილებას იდენტობის მომწოდებელთან გადააქვს. მასაც მოაქვს საკუთარი დამოკიდებულებები, რადგან EAP მეთოდი, სერვერის სერტიფიკატი და კლიენტის ნდობა ამ სერტიფიკატის მიმართ ყველა უნდა დაემთხვეს. მხოლოდ ნაცნობი ველისთვის L2TP/IPsec-ზე გადასვლა ცვლის პროტოკოლების დასტას. ეს მისაღებია, როცა დოკუმენტირებული მიზეზის მქონე მხარდაჭერილი არჩევანია, და ცუდი შედეგია, როცა ხდება იმიტომ, რომ ვინმე გასაღების ჩასაწერ უჯრას ეძებდა.

შეამოწმეთ, რას მიიღებს კარიბჭე

ჰკითხეთ ოპერატორს, რა ავთენტიფიკაციის მეთოდებს სთავაზობს შორეული წვდომის სერვისი დღეს, და არა რომელს უჭერს პროდუქტი ზოგადად მხარს. მხოლოდ PSK-ისთვის კონფიგურირებული IKEv2 სერვისი არ მიიღებს სერტიფიკატს იმიტომ, რომ კლიენტს ის ურჩევნია.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

წაიკითხეთ პროფილის ავთენტიფიკაციის მეთოდი და სერტიფიკატების საცავი ერთად. EAP-ზე დაყენებული პროფილი, რომლის უკან გამოსადეგი სერტიფიკატი არ არის, ისე ვარდება, რომ სერვერის პრობლემას ჰგავს.

თუ პასუხია, რომ მხოლოდ PSK არის ხელმისაწვდომი, პატიოსანი ვარიანტებია მისი მხარდამჭერი დამტკიცებული კლიენტი ან კარიბჭის ავთენტიფიკაციის დიზაინის ცვლილება. არც ერთი არ არის ადგილობრივი გვერდის ავლა, და საწინააღმდეგოს თქმა ქმნის კავშირს, რომლის გამეორებაც მხოლოდ მის შემქმნელს შეუძლია.

ჩაწერეთ გადაწყვეტილება და საიდუმლოებები

ჩაწერეთ არჩეული მეთოდი, ნდობის სამაგრი, მასთან დაკავშირებული იდენტობა და ცვლილების დამმტკიცებელი პირი. ეს ჩანაწერია, რაც ინციდენტის განხილვას სჭირდება, და ისიც, რაც შემდეგ ინჟინერს იმავე ჩიხის ხელახლა აღმოჩენის საშუალებას არ აძლევს.

შენიშვნებში საიდუმლოებები ცალკე შეინახეთ: ანგარიშის პაროლი, პირადი გასაღების პაროლფრაზა და კარიბჭის წინასწარ საზიარო გასაღები სამი სხვადასხვა რამ არის, მაშინაც კი, როცა პარამეტრების ეკრანი ყველას პაროლს უწოდებს. მათი არევა ის გზაა, რომლითაც გასაღები ბილეთში ხვდება. შეამოწმეთ მიღებული პროფილი ახალი კავშირით და ერთი აპლიკაციის მოთხოვნით პირად რესურსზე. წარმატებული გვირაბი ხელმისაწვდომი სერვისის გარეშე ნაწილობრივი შედეგია, და პროფილი დასრულებულად არ უნდა აღიწეროს, სანამ რესურსიც არ იმუშავებს.