Неліктен жергілікті Windows IKEv2-де PSK өрісі мүлде жоқ

Шлюз құжаттамасы алдын ала ортақ кілт клиентке енгізіледі дейді, бірақ Windows профилінде ол үшін өріс жоқ. Бұл олқылық кілтті құпиясөз өрісіне теріп айналып өтетін қате емес. Бұл хаттаманың не істей алатыны мен нақты іске асырудың не ұсынатыны арасындағы айырмашылық.

Хаттама мүмкіндігі клиент қолдауы емес

IKEv2 ерекшелігі ортақ кілтпен аутентификацияны қамтиды, сондықтан шлюзді оған заңды түрде конфигурациялауға болады. Windows-тың жергілікті қашықтан қатынау профилі оның орнына сертификат және EAP тәртіптерін құжаттайды, ал хаттама мүмкіндігі клиентте ешқашан болмаған өріс, параметр немесе тіркеу жазбасының мәнін жасамайды.

Адамдар әдетте VPN қосылымын қосуға арналған PowerShell анықтамасы бетіне келеді, ол жерде L2TP тәртібі үшін L2tpPsk көрсетілген. Бұл параметр L2TP-ге жатады және жалпы IKEv2 құпиясы емес. Алгоритм таңдау параметрлері қорғау параметрлерін таңдайды, бұл үшінші, қатысы жоқ нәрсе. Windows Server маршруттау рөлі де сол нысан емес. Сервер интерфейсінде жұмыс үстелі клиентінің профилінде жоқ конфигурациялық басқару элементтері болуы мүмкін, ал сервер параметрін жұмыс станциясының профиліне көшіру бұл мүмкіндікті қайта жасамайды.

Сертификат, EAP немесе L2TP таңдаңыз

Егер шлюз операторы сертификатпен аутентификацияны қабылдаса, бұл әдетте ең таза мақсат: клиент сертификатты ұсынады, шлюз оны сенімді шығарушы жанында тексереді, ал профильде біреу көшіретін ортақ құпия қалмайды. Бұл тіркеуді, сенімді тізбекті және сертификатты рұқсат шешімімен байланыстыратын шлюз конфигурациясын талап етеді.

Пайдаланушы куәлігімен EAP осы клиенттегі екінші қолдау көрсетілген жол және шешімді сәйкестендіру провайдеріне ауыстырады. Ол өз тәуелділіктерін де әкеледі, өйткені EAP әдісі, сервер сертификаты және клиенттің сол сертификатқа сенімі бәрі сәйкес келуі керек. Таныс өріс үшін ғана L2TP/IPsec-ке көшу хаттамалар жиынтығын өзгертеді. Бұл құжатталған себебі бар қолдау көрсетілген таңдау болғанда қолайлы, ал біреу кілт жазатын ұяшық іздегендіктен болса, нашар нәтиже.

Шлюз нені қабылдайтынын тексеріңіз

Оператордан қашықтан қатынау қызметі бүгін қандай аутентификация әдістерін ұсынатынын сұраңыз, өнім жалпы қандай әдістерді қолдайтынын емес. Тек PSK үшін конфигурацияланған IKEv2 қызметі клиент таңдағандықтан сертификатты қабылдамайды.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Профильдің аутентификация әдісі мен сертификат қоймасын бірге оқыңыз. Артында пайдалануға жарамды сертификат жоқ EAP-қа қойылған профиль сервер мәселесіне ұқсайтын түрде сәтсіздікке ұшырайды.

Егер жауап тек PSK қолжетімді деген болса, адал нұсқалар — оны қолдайтын бекітілген клиент немесе шлюздің аутентификация дизайнын өзгерту. Екеуі де жергілікті айла-шарғы емес, ал керісінше деп көрсету тек оны конфигурациялаған адам ғана қайталай алатын байланыс тудырады.

Шешім мен құпияларды жазып алыңыз

Таңдалған әдісті, сенім тірегін, оған сәйкес келетін сәйкестікті және өзгерісті бекіткен адамды жазыңыз. Сол жазба оқиғаны қарауға қажет нәрсе, әрі келесі инженерге сол бір тұйық жолды қайта табуға жол бермейді.

Жазбаларыңызда құпияларды бөлек ұстаңыз: тіркелгі құпиясөзі, жеке кілттің құпиясөз тіркесі және шлюздің алдын ала ортақ кілті — үш түрлі нәрсе, тіпті параметрлер экраны олардың бәрін құпиясөз деп атаса да. Оларды шатастыру кілттің билетке түсу жолы. Алынған профильді жаңа қосылыммен және жеке ресурсқа бір қолданба сұранысымен тексеріңіз. Қолжетімді қызметсіз сәтті туннель — ішінара нәтиже, және ресурс та жұмыс істемейінше профильді аяқталды деп сипаттауға болмайды.