Эмне үчүн жергиликтүү Windows IKEv2де PSK талаасы такыр жок

Шлюздун документтеринде алдын ала жалпы ачкыч клиентке киргизилет деп айтылат, бирок Windows профилинде ага талаа жок. Бул боштук ачкычты сырсөз талаасына жазуу менен айланып өтүлүүчү ката эмес. Бул протокол эмне кыла алары менен конкреттүү ишке ашыруу эмнени сунуштаарынын ортосундагы айырма.

Протоколдун мүмкүнчүлүгү клиенттин колдоосу эмес

IKEv2 спецификациясы жалпы ачкыч менен аутентификацияны камтыйт, ошондуктан шлюзду ага мыйзамдуу түрдө конфигурациялоого болот. Windowsтун жергиликтүү алыскы кирүү профили анын ордуна сертификат жана EAP жоболорун документтештирет, ал эми протоколдун мүмкүнчүлүгү клиентте эч качан болбогон талаа, параметр же реестр маанисин жаратпайт.

Адамдар адатта VPN байланышын кошуу үчүн PowerShell маалымдамасы барагына келишет, анда L2TP жобосу үчүн L2tpPsk көрсөтүлгөн. Бул параметр L2TP-га таандык жана жалпы IKEv2 сыры эмес. Алгоритм тандоо жөндөөлөрү коргоо параметрлерин тандайт, бул үчүнчү, байланышсыз нерсе. Windows Serverдин маршруттоо ролу да ошол эле объект эмес. Сервер интерфейсинде иш тактасынын клиент профилинде жок конфигурациялык башкаруу элементтери болушу мүмкүн, ал эми сервер жөндөөсүн жумуш станциясынын профилине көчүрүү бул мүмкүнчүлүктү кайра жаратпайт.

Сертификат, EAP же L2TP тандаңыз

Эгер шлюз оператору сертификат менен аутентификацияны кабыл алса, бул адатта эң таза максат: клиент сертификатты сунуштайт, шлюз аны ишенимдүү чыгаруучунун алдында текшерет, ал эми профилде бирөө көчүрө турган жалпы сыр калбайт. Бул каттоону, ишенимдүү чынжырды жана сертификатты уруксат чечимине байланыштырган шлюз конфигурациясын талап кылат.

Колдонуучунун күбөлүгү менен EAP бул клиенттеги экинчи колдоого алынган жол жана чечимди инсандык провайдерине өткөрөт. Ал өз көз карандылыктарын да алып келет, анткени EAP ыкмасы, сервер сертификаты жана клиенттин ошол сертификатка ишеними баары шайкеш келиши керек. Тааныш талаа үчүн гана L2TP/IPsecке өтүү протоколдор топтомун өзгөртөт. Бул документтелген себеби бар колдоого алынган тандоо болгондо кабыл алынат, ал эми бирөө ачкыч жаза турган кутуча издегени үчүн болсо, начар натыйжа.

Шлюз эмнени кабыл аларын текшериңиз

Оператордон алыскы кирүү кызматы бүгүн кайсы аутентификация ыкмаларын сунуштаарын сураңыз, продукт жалпы кайсыларды колдойт деп эмес. Бир гана PSK үчүн конфигурацияланган IKEv2 кызматы клиент тандагандыктан сертификатты кабыл албайт.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Профилдин аутентификация ыкмасын жана сертификат кампасын чогуу окуңуз. Артында колдонууга жарактуу сертификаты жок EAPга коюлган профил сервер көйгөйүнө окшош түрдө ишке ашпайт.

Эгер жооп бир гана PSK жеткиликтүү деген болсо, чынчыл варианттар — аны колдогон бекитилген клиент же шлюздун аутентификация дизайнын өзгөртүү. Экөө тең жергиликтүү айла эмес, ал эми тескерисинче көрсөтүү аны конфигурациялаган адам гана кайталай алган байланыш жаратат.

Чечимди жана сырларды жазыңыз

Тандалган ыкманы, ишеним тирегин, ага туура келген инсандыкты жана өзгөртүүнү бекиткен адамды жазыңыз. Ошол жазуу окуяны кароого керектүү нерсе, жана ал кийинки инженерге ошол эле туюк жолду кайра табууга жол бербейт.

Жазууларыңызда сырларды өзүнчө кармаңыз: аккаунттун сырсөзү, жеке ачкычтын сырсөз фразасы жана шлюздун алдын ала жалпы ачкычы — үч башка нерсе, жада калса жөндөөлөр экраны алардын баарын сырсөз деп атаса да. Аларды аралаштыруу ачкычтын билетке түшүү жолу. Алынган профилди жаңы байланыш жана жеке ресурска бир колдонмо суроосу менен текшериңиз. Жеткиликтүү кызматсыз ийгиликтүү туннель — жарым-жартылай натыйжа, жана ресурс да иштемесинче профилди бүттү деп сүрөттөөгө болбойт.