Firwat huet de native Windows IKEv2 guer keen PSK-Feld

D'Gateway-Dokumentation seet, dee virun ägedeelte Schlëssel géife mam Client agefouert ginn, awer de Windows-Profil huet keen Feld dofir. Dës Lück ass kee Feeler, deen een ëmgeet andeems een de Schlëssel an d'Passwuertkëscht tippt. Et ass den Ënnerscheed tëschent deem, wat e Protokoll kann, an deem, wat eng bestëmmten Ëmsetzung ubitt.

Protokollfäegkeet ass keng Client-Ënnerstëtzung

D'IKEv2-Spezifikatioun enthält d'Authentifikatioun mam gedeelte Schlëssel, also kann e Gateway legitimerweis dofir konfiguréiert ginn. De native Windows-Profil fir Fernzougrëff dokumentéiert amplaz Zertifikats- an EAP-Regelungen, an d'Protokollfäegkeet schaaft keen Feld, kee Parameter an och kee Registrierungswäert, deen de Client ni hat.

D'Leit lande meeschtens op PowerShell-Referenz fir eng VPN-Verbindung dobäizesetzen, an do gëtt L2tpPsk fir d'L2TP-Regelung ugewisen. Dee Parameter gehéiert zu L2TP an ass keen allgemengt IKEv2-Geheimnis. D'Astellunge fir d'Algorithmeauswiel wielen Schutzparameter, wat eng drëtt, onverbonnen Saach ass. Och d'Routingroll vum Windows Server ass net dat selwecht Objet. Eng Server-Schnittstell kann Konfiguratiounskontrollen hunn, déi en Desktop-Clientprofil net huet, an eng Serverastellung an en Aarbechtsplatzprofil ze kopéieren reproduzéiert d'Fäegkeet net.

Wielt tëschent Zertifikat, EAP oder L2TP

Wann den Gateway-Bedreiwer d'Zertifikatsauthentifikatioun akzeptéiert, ass dat meeschtens dat propperst Zil: de Client presentéiert en Zertifikat, de Gateway validéiert et bei engem vertrauenswürdegen Aussteller, an et bleift keen gedeelte Geheimnis an engem Profil, deen een ofschreiwe kéint. Et erfuerdert Aschreiwung, eng vertrauenswürdeg Kette an eng Gateway-Konfiguratioun, déi den Zertifikat mat enger Autorisatiounsentscheedung verbënnt.

EAP mat engem Benotzerverbued ass den anere supportéierte Wee op dësem Client, an en verlagert d'Entscheedung op en Identitéitsprovider. Et bréngt och seng eegen Ofhängegkeeten, well d'EAP-Method, de Serverzertifikat an d'Vertraue vum Client an deen Zertifikat mussen all zesummenpassen. Fir just e vertraut Feld ze kréien op L2TP/IPsec ze wiesselen ännert de Protokollstapel. Dat ass akzeptabel, wann et eng supportéiert Wiel mat engem dokumentéierte Grond ass, an et ass e schlecht Resultat, wann et geschitt, well een eng Këscht gesicht huet, fir e Schlëssel anzeginn.

Préift, wat de Gateway unhëlt

Frot den Bedreiwer, wéi eng Authentifikatiounsmethode de Fernzougrëffsservice haut ubitt, net wéi eng de Produit allgemeng ënnerstëtzt. E Service, deen nëmme fir IKEv2 mat PSK konfiguréiert ass, hëlt keen Zertifikat un, just well de Client een bevorzugt.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Liest d'Authentifikatiounsmethod vum Profil an de Zertifikatsspäicher zesummen. E Profil, deen op EAP gestallt ass, ouni en notzbare Zertifikat hannendrun, versot op eng Aart, déi wéi e Serverproblem ausgesäit.

Wann d'Äntwert ass, et wier nëmme PSK verfügbar, sinn déi éierlech Optiounen en approuvéierte Client, deen et ënnerstëtzt, oder eng Ännerung am Authentifikatiounsdesign vum Gateway. Béides ass keng lokal Noutléisung, an dat Ëmgedréit virzeginn erzeugt eng Verbindung, déi just dee kann noweisen, deen se konfiguréiert huet.

Halt d'Entscheedung an d'Geheimnisser fest

Schreif déi gewielte Method, den Vertrauensanker, d'Identitéit, déi dozou gehéiert, an de Mënsch, deen d'Ännerung approuvéiert huet, op. Dee Rekord ass dat, wat eng Incident-Review brauch, an en hält och den nächsten Ingenieur dovun of, déi selwecht Sakgaass nach eng Kéier ze fannen.

Halt d'Geheimnisser getrennt an dengen Notizen: Kontpasswuert, Passphrase vum private Schlëssel an dee virun ägedeelte Gateway-Schlëssel sinn dräi verschidde Saachen, och wann eng Astellungssäit se all als Passwuert bezeechent. Se ze verwiesselen ass de Wee, wéi e Schlëssel an en Ticket kënnt. Test de resultéierende Profil mat enger neier Verbindung an enger Applikatiounsufro op eng privat Ressource. En erfollegräichen Tunnel ouni erreechbare Service ass en deelweist Resultat, an de Profil soll net als fäerdeg beschriwwe ginn, bis d'Ressource och funktionéiert.