Windows жүйесіндегі IKEv2 теңшелетін саясаты: оны жеке қадам ретінде қолданыңыз

Дайындалған қосылым мен теңшелетін криптографиялық жиынтық — екі бөлек нәтиже. Саясат өрістерін, профиль ауқымын және оларды қайта қолданатын иені сәйкестендіріңіз.

Дайындау бумасы IKEv2 қосылымын жасайды, ал алынған профиль сіз ойлаған жиынтықтан өзге нәрсе туралы келіседі. Бума өз жұмысын істеді; онда сіз болжаған жұмысқа арналған өріс ешқашан болған жоқ. Криптографиялық жиынтықты жеке және тексеруге болатын дайындау қадамы ретінде қараңыз.

Төмендегі бес тармақты ретімен орындаңыз және қабылдау нәтижелерін бөлек ұстаңыз.

Ұқсас атаулардың артындағы екі түрлі саясат

Windows кілт алмасуды қорғайтын саясатты трафикті қорғайтын саясаттан бөледі. IKE жағы шифрлау әдісімен және тұтастық әдісімен конфигурацияланады. Деректер жағы шифр және аутентификация трансформациясының тұрақтыларымен конфигурацияланады, және бұл тұрақтылар өз атауларын пайдаланады. Дұрыс емес өріске көшірілген бір AES белгісі ешкім бекітпеген саясат бойынша орнатылатын қосылым жасайды.

Кілт алмасу тобы мен тамаша алға жылжу құпиялылығы бір келіссөзге жатады және шлюз үшін қабылданымды болуы керек. Оларды алыс жақты тексермей орнату сіз өңдеп жатқан кезеңнен кешірек кезеңде сәтсіздікке әкеледі, сондықтан бұл қателер шлюз мәселелеріне ұқсайды.

Толық саясат құрыңыз, екі алгоритм атауын емес

Әр өрісті анық жазыңыз, соның ішінде әдепкі деп санайтындарыңызды да. Күш жалаушасымен қолданылған ішінара саясат сақталған конфигурацияға айналады, ал қалдырып кеткен мәндер сол сәтте платформада болған мәндер. Бір префикспен басталатын мәндер өрістер арасында алмаспайды, және белгілі трансформация атауларының бірі тек аутентификация трансформациясы ретінде жарамды.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Бұл блокты екі тарап та қолдауы тиіс үлгілік жиынтық ретінде қараңыз, ұсыныс ретінде емес. Күш қосқышы сұранысты басады; ол сіз қарап шықпаған буманы бекітпейді.

Алдымен жасаңыз, содан кейін қолданыңыз — бір ауқымда

Саясатын орнату алдында қосылым болуы керек, және ауқым әр қадамда сәйкес келуі тиіс. Машина контекстіндегі қадам кез келген пайдаланушының жеке профилін тек көрсетілетін атау бірдей болғандықтан таба алмайды. Барлық пайдаланушылардың қосылымдары, пайдаланушы қосылымдары және олардың күй каталогтары бөлек атаулары бар бөлек нысандар.

Тәртіп дайындау бумасында көрінгеннен маңыздырақ, өйткені екі команда қосылым жасауға кететін уақыттан жақынырақ орындалуы мүмкін. Конфигурациядан кейінгі жұмысты жарияланған орындалу контексті бар бекітілген дайындау командасы ретінде қаптаңыз және болжамды кідіріс қоюдың орнына дайындау қозғалтқышына оны реттеуге рұқсат беріңіз. Сынақ жабдығыңызда жеткілікті ұзақ ұйқы — кідірісі қосылған жарыс шарты. Ұзақтықты емес, тәуелділікті жазыңыз.

Құжатталған Configuration Designer өрістері бір VPN параметрін сипаттайды және барлық жергілікті IPsec басқаруын ашпайды. Егер талап басқарылатын жеткізу болса, VPNv2 конфигурация қызметі провайдерінде дәл осы мақсатқа арналған криптографиялық жиынтық бөлімі бар.

Саясатқа бір ғана ие тағайындаңыз

Кейінірек басқару профилінің жаңартылуы қосылымды қайта жасап, скрипт қолданғанның бәрін алмастыруы мүмкін, және ауыстыру шегініс сияқты көрінеді. Жиынтық профильге, скриптке немесе басқару арнасына тиесілі ме — соны шешіңіз және күнделікті жаңартулар бірінші орнатумен бірдей жолмен жүрсін.

Екі ие келіспесе, ол иесіздікпен бірдей. Профильдің өзгеріс жазбасына иенің атын жазыңыз. Келесі жаңарту сол жазба не дейтінін ұстанады.

Буманы емес, келісілген нәтижені тексеріңіз

Сақталған профильді және оның ауқымын оқыңыз, содан кейін жаңа қосылым орнатып, шлюзде таңдалған ұсыныстарды салыстырыңыз. Кілтті қайта жаңарту әрекетін де растаңыз, өйткені бастапқы қол алысу кейінгі кезең қабылдамайтын жиынтықпен сәтті болуы мүмкін.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Үш қабылдау нәтижесі бір оқиға емес: бума орнатылды, профиль көзделген саясатпен бар, және тараптар ол туралы келісті. Оларды бөлек ұстаңыз, сонда жетіспейтін өріс ешқашан аутентификацияны әлсірету арқылы немесе ешкім таңдамаған қосалқы нұсқаны қосу арқылы түзетілмесін.

Қатысты мақалалар