Windows-ში IKEv2-ის მორგებული პოლიტიკა: გამოიყენეთ იგი ცალკე ნაბიჯად

მომარაგების პაკეტი ქმნის IKEv2 კავშირს და მიღებული პროფილი შეთანხმდება რაღაც სხვაზე, ვიდრე თქვენ მიერ განზრახული ნაკრები. პაკეტმა თავისი საქმე გააკეთა; მას უბრალოდ არასოდეს ჰქონდა ველი იმ სამუშაოსთვის, რომელიც თქვენ ჩათვალეთ. განიხილეთ კრიპტოგრაფიული ნაკრები, როგორც ცალკე და შესამოწმებელი მომარაგების ნაბიჯი.

გაიარეთ ქვემოთ მოცემული ხუთი პუნქტი თანმიმდევრობით და მიღების შედეგები ცალ-ცალკე შეინახეთ.

ორი სახის პოლიტიკა მსგავსი სახელების მიღმა

Windows ჰყოფს გასაღების გაცვლის დამცავ პოლიტიკას ტრაფიკის დამცავი პოლიტიკისგან. IKE მხარე კონფიგურირდება დაშიფვრის მეთოდითა და მთლიანობის მეთოდით. მონაცემთა მხარე კონფიგურირდება შიფრისა და ავთენტიფიკაციის ტრანსფორმაციის მუდმივებით და ეს მუდმივები საკუთარ სახელებს იყენებენ. არასწორ ველში დაკოპირებული ერთი AES ეტიკეტი ქმნის კავშირს, რომელიც დამყარდება იმ პოლიტიკით, რომელიც არავის დაუმტკიცებია.

გასაღების გაცვლის ჯგუფი და სრულყოფილი წინსვლითი საიდუმლოება ერთსა და იმავე მოლაპარაკებას მიეკუთვნება და უნდა იყოს მისაღები კარიბჭისთვის. მათი დაყენება შორეული მხარის შემოწმების გარეშე იწვევს ჩავარდნას იმაზე გვიან ეტაპზე, ვიდრე ის, რომელსაც არედაქტირებდით, და ამიტომ ეს შეცდომები კარიბჭის პრობლემებად გამოიყურება.

ააშენეთ სრული პოლიტიკა და არა ორი ალგორითმის სახელი

ჩაწერეთ ყოველი ველი ცალსახად, მათ შორის ის, რომლებსაც ნაგულისხმევად თვლით. ნაწილობრივი პოლიტიკა, რომელიც ძალის დროშით გამოიყენება, ხდება შენახული კონფიგურაცია, და გამოტოვებული მნიშვნელობები არის ის, რაც პლატფორმას იმ მომენტში ჰქონდა. იგივე პრეფიქსით დაწყებული მნიშვნელობები ველებს შორის ურთიერთშემცვლელი არ არის, და ცნობილი ტრანსფორმაციის სახელებიდან ერთი მოქმედია მხოლოდ როგორც ავთენტიფიკაციის ტრანსფორმაცია.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

მიიჩნიეთ ეს ბლოკი საილუსტრაციო ნაკრებად, რომელსაც ორივე მხარემ უნდა დაუჭიროს მხარი, და არა რეკომენდაციად. ძალის გადამრთველი ახშობს მოთხოვნას; ის არ ამტკიცებს პაკეტს, რომელიც თქვენ არ გადაგიხილავთ.

ჯერ შექმენით, შემდეგ გამოიყენეთ — ერთ ფარგლებში

კავშირი უნდა არსებობდეს მისი პოლიტიკის დაყენებამდე და ფარგლები ყოველ ნაბიჯზე უნდა ემთხვეოდეს. მანქანის კონტექსტში შესრულებული ნაბიჯი ვერ იპოვის ნებისმიერი მომხმარებლის პირად პროფილს მხოლოდ იმიტომ, რომ ნაჩვენები სახელი იგივეა. ყველა მომხმარებლის კავშირები, მომხმარებლის კავშირები და მათი მდგომარეობის დირექტორიები ცალკე სახელების მქონე ცალკე ობიექტებია.

თანმიმდევრობას მეტი მნიშვნელობა აქვს, ვიდრე ჩანს მომარაგების პაკეტში, რადგან ორი ბრძანება შეიძლება ერთმანეთთან უფრო ახლოს გაეშვას, ვიდრე კავშირის შექმნას სჭირდება. შეფუთეთ კონფიგურაციის შემდგომი სამუშაო დამტკიცებულ მომარაგების ბრძანებად გამოცხადებული შესრულების კონტექსტით და მიეცით მომარაგების ძრავას მისი დალაგების უფლება, ნაცვლად სავარაუდო დაყოვნების ჩასმისა. ძილი, რომელიც საკმარისად გრძელია თქვენს სატესტო ტექნიკაზე, დაყოვნებით აღჭურვილი რბოლის პირობაა. ჩაწერეთ დამოკიდებულება და არა ხანგრძლივობა.

დოკუმენტირებული Configuration Designer ველები აღწერენ ერთ VPN პარამეტრს და არ ამჟღავნებენ ყველა მშობლიურ IPsec კონტროლს. თუ მოთხოვნა მართული მიწოდებაა, VPNv2 კონფიგურაციის სერვისის პროვაიდერს აქვს კრიპტოგრაფიული ნაკრების სექცია ზუსტად ამ მიზნისთვის.

დაასახელეთ პოლიტიკის ერთი მფლობელი

მოგვიანებით მართვის პროფილის განახლებამ შეიძლება ხელახლა შექმნას კავშირი და შეცვალოს ის, რაც სკრიპტმა გამოიყენა, და ჩანაცვლება რეგრესივით გამოიყურება. გადაწყვიტეთ, ნაკრები პროფილს, სკრიპტს თუ მართვის არხს ეკუთვნის, და მოაწყვეთ ისე, რომ რუტინული განახლებები პირველი ინსტალაციის იმავე გზას მიჰყვებოდეს.

ორი მფლობელი იგივეა, რაც არც ერთი, როცა ორივე არ თანხმდება. ჩაწერეთ მფლობელის სახელი პროფილის ცვლილებების ჩანაწერში. შემდეგი განახლება მიჰყვება იმას, რასაც ეს ჩანაწერი ამბობს.

შეამოწმეთ შეთანხმებული შედეგი და არა პაკეტი

წაიკითხეთ შენახული პროფილი და მისი ფარგლები, შემდეგ დაამყარეთ ახალი კავშირი და შეადარეთ არჩეული წინადადებები კარიბჭეზე. დაადასტურეთ გასაღების განახლების ქცევაც, რადგან საწყისი ხელის ჩამორთმევა შეიძლება წარმატებული იყოს ნაკრებით, რომელსაც გვიანი ეტაპი უარყოფს.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

მიღების სამი შედეგი ერთი მოვლენა არ არის: პაკეტი დაყენდა, პროფილი არსებობს განზრახული პოლიტიკით და მხარეები შეთანხმდნენ მასზე. შეინახეთ ისინი ცალ-ცალკე, რათა დაკარგული ველი არასოდეს შესწორდეს ავთენტიფიკაციის შესუსტებით ან იმ სარეზერვო ვარიანტის ჩართვით, რომელიც არავის აურჩევია.