Windows IKEv2 ыңгайлаштырылган саясаты: аны өзүнчө кадам катары колдонуңуз

Камсыздалган туташуу жана ыңгайлаштырылган криптографиялык топтом — эки өзүнчө жыйынтык. Саясат талааларын, профиль алкагын жана аларды кайра колдонгон ээни дал келтириңиз.

Камсыздоо пакети IKEv2 туташуусун түзөт, жана алынган профиль сиз ойлогон топтомдон башка нерсе жөнүндө сүйлөшөт. Пакет өз ишин аткарды; анда сиз божомолдогон иш үчүн талаа эч качан болгон эмес. Криптографиялык топтомду өзүнчө жана текшерүүгө боло турган камсыздоо кадамы катары караңыз.

Төмөнкү беш пунктту ирети менен аткарыңыз жана кабыл алуу жыйынтыктарын өзүнчө кармаңыз.

Окшош аттардын артындагы эки түрдүү саясат

Windows ачкыч алмашууну коргогон саясатты трафикти коргогон саясаттан бөлөт. IKE тарабы шифрлөө ыкмасы жана бүтүндүк ыкмасы менен конфигурацияланат. Дайындар тарабы шифр жана аутентификация трансформациясынын турактылары менен конфигурацияланат, жана бул турактылар өз аттарын колдонушат. Туура эмес талаага көчүрүлгөн бир AES белгиси эч ким бекитпеген саясат боюнча орнотулган туташууну жаратат.

Ачкыч алмашуу тобу жана идеалдуу алдыга жылуу жашыруундугу бир эле сүйлөшүүгө таандык жана шлюз үчүн кабыл алынарлык болушу керек. Аларды алыскы тарапты текшербей орнотуу сиз түзөтүп жаткан баскычтан кийинки баскычта ийгиликсиздикке алып келет, ошондуктан бул каталар шлюз көйгөйлөрүндөй көрүнөт.

Толук саясат түзүңүз, эки алгоритм атын эмес

Ар бир талааны ачык жазыңыз, анын ичинде демейки деп эсептегендериңизди да. Күч желеги менен колдонулган жарым-жартылай саясат сакталган конфигурацияга айланат, ал эми калтырып кеткен маанилер ошол учурда платформада болгон маанилер. Бир префикс менен башталган маанилер талаалардын ортосунда алмашылбайт, жана белгилүү трансформация аттарынын бири гана аутентификация трансформациясы катары жарактуу.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Бул блокту эки тарап тең колдошу керек болгон үлгүлүү топтом катары караңыз, сунуш катары эмес. Күч которгучу суроону басат; ал сиз карап чыкпаган пакетти бекитпейт.

Алгач түзүңүз, анан колдонуңуз — бир алкакта

Саясатын орнотуудан мурун туташуу болушу керек, жана алкак ар бир кадамда дал келиши керек. Машина контекстиндеги кадам каалаган колдонуучунун жеке профилин дисплей аты окшош болгондугу үчүн гана таба албайт. Бардык колдонуучулардын туташуулары, колдонуучу туташуулары жана алардын абал каталогдору өзүнчө аттары бар өзүнчө объектилер.

Ирет камсыздоо пакетинде көрүнгөндөн маанилүүрөөк, анткени эки буйрук туташуу түзүүгө кеткен убакыттан жакыныраак иштеши мүмкүн. Конфигурациядан кийинки ишти жарыяланган аткаруу контексти бар бекитилген камсыздоо буйругу катары таңгактаңыз жана болжолдуу кечигүү киргизүүнүн ордуна камсыздоо кыймылдаткычына аны иреттеске жол бериңиз. Сынак жабдууңузда жетиштүү узун уйку — кечигүүсү кошулган жарыш шарты. Узактыкты эмес, көз карандылыкты жазыңыз.

Документтелген Configuration Designer талаалары бир VPN параметрин сүрөттөйт жана бардык жергиликтүү IPsec башкаруусун ачпайт. Эгер талап башкарылуучу жеткирүү болсо, VPNv2 конфигурация кызматынын провайдеринде дал ушул максатка арналган криптографиялык топтом бөлүмү бар.

Саясатка бир гана ээ дайындаңыз

Кийинчерээк башкаруу профилинин жаңыртылышы туташууну кайра түзүп, скрипт колдонгон нерсенин баарын алмаштырышы мүмкүн, жана алмаштыруу артка чегинүүдөй көрүнөт. Топтом профилге, скриптке же башкаруу каналына таандыкпы — аны чечиңиз жана күнүмдүк жаңыртуулар биринчи орнотуу менен бирдей жол менен жүрсүн.

Эки ээ келишпесе, ал ээсиздик менен бирдей. Профилдин өзгөрүү жазуусуна ээнин атын жазыңыз. Кийинки жаңыртуу ошол жазуу эмне десе, ошону ээрчийт.

Пакетти эмес, сүйлөшүлгөн жыйынтыкты текшериңиз

Сакталган профилди жана анын алкагын окуңуз, анан жаңы туташуу орнотуп, шлюзде тандалган сунуштарды салыштырыңыз. Ачкычты кайра жаңыртуу жүрүм-турумун да ырастаңыз, анткени баштапкы кол алышуу кийинки баскыч четке каккан топтом менен ийгиликтүү болушу мүмкүн.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Үч кабыл алуу жыйынтыгы бир окуя эмес: пакет орнотулду, профиль көздөлгөн саясат менен бар, жана тараптар ал жөнүндө сүйлөштү. Аларды өзүнчө кармаңыз, ошондо жетишпеген талаа эч качан аутентификацияны алсыратуу же эч ким тандабаган камдык вариантты күйгүзүү менен оңдолбосун.

Тектеш макалалар