Windows IKEv2 eegene Politik: wend se als eege Schrëtt un

Eng provisionéiert Verbindung an e eegene Kryptosuite sinn zwee Resultater. Bréngt d’Politiksfelder, den Ëmfang vum Profil an den Eegentemer deen se nees uwent an Iwwereneestëmmung.

E Provisioningspaket erstellt eng IKEv2-Verbindung, an de Profil deen do draus entsteet verhandelt eppes anescht wéi de Suite deen Dir virgesinn hutt. D’Paket huet seng Aarbecht gemaach; et hat just ni e Feld fir d’Aarbecht déi Dir ugeholl hutt. Behandelt de Kryptosuite als ee separat, iwwerpréifbare Provisioningsschrëtt.

Gitt déi fënnef Punkten hei drënner an der Rei duerch a haalt d’Akzeptanzresultater getrennt.

Zwee Aarten Politik hannert änlechen Nimm

Windows trennt d’Politik déi den Schlësselaustausch schützt vun der Politik déi den Traffic schützt. D’IKE-Säit gëtt duerch eng Verschlësselungsmethod an eng Integritéitsmethod konfiguréiert. D’Date-Säit gëtt duerch Chiffre- a Authentifizéierungstransform-Konstanten konfiguréiert, an déi Konstante benotze hiren eegenen Numm. Een eenzegen AES-Label deen an dat falscht Feld kopéiert gëtt produzéiert eng Verbindung déi ënner enger Politik opgebaut gëtt déi keen approuvéiert huet.

D’Schlësselaustauschgrupp an déi perfekt Forward Secrecy gehéieren zu der selwechter Verhandlung a musse fir de Gateway akzeptabel sinn. Se setzen ouni déi wäit Säit ze préifen produzéiert e Feeler an enger méi spéider Phas wéi déi Dir beaarbecht hutt, an dofir gesinn dës Feeler aus wéi Gateway-Problemer.

Baut eng komplett Politik, net zwee Algorithmusnummen

Schreift all Feld explizit op, och déi Dir als Standardwäerter mengt. Eng deelweis Politik déi mat engem Force-Flag ugewannt gëtt gëtt déi gespäichert Konfiguratioun, an d’Wäerter déi Dir ewechgelooss hutt si wat d’Plattform zu deem Moment hat. Wäerter mat dem selwechte Prefix sinn tëschent de Felder net austauschbar, an ee vun de bekannten Transformnumme gëllt just als Authentifizéierungstransform.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Behandelt dee Block als en illustratiivt Suite deen Är zwou Géigesäiten ënnerstëtze mussen, net als Empfehlung. De Force-Schalter ënnerdréckt eng Ufro; hien approuvéiert keen Paket deen Dir net iwwerpréift hutt.

Fir d’éischt erstellen, dann uwenden — an engem Ëmfang

D’Verbindung muss existéieren ier hir Politik ka gesat ginn, an den Ëmfang muss bei all Schrëtt passen. E Schrëtt am Maschinnekontakt kann de private Profil vun engem beliebegen Notzer net fannen just well den Ugewisene Numm deeselwechte ass. Verbindungen fir all Notzer, Notzerverbindungen an hir Zoustandverzeechnisser sinn getrennt Objeten mat getrennten Nimm.

D’Reiefolleg ass wichteger wéi et an engem Provisioningpaket ausgesäit, well zwee Kommandoe méi no beienee kënne lafen wéi d’Verbindung brauch fir entstoenden. Verpackt d’Aarbecht no der Konfiguratioun als approuvéierte Provisioningskommando mat engem deklaréierten Ausféierungskontext, a loosst d’Provisioningsmaschinn se sequenzéieren amplaz eng gerode Verzögerung anzefügen. En Schlof deen op Ärer Testhardware laang genuch ass ass eng Racesituatioun mat enger Verzögerung druff. Schreift d’Ofhängegkeet op, net d’Dauer.

Déi dokumentéiert Configuration Designer Felder beschreiwen eng VPN-Astelllung an leeën net all native IPsec-Kontroll oppen. Wann d’Ufuerderung eng geréiert Liwwerung ass, huet de VPNv2-Konfiguratiounsdéngschtleeschter eng Sektioun Kryptosuite genau fir dësen Zweck.

Benennt een eenzegen Eegentemer fir d’Politik

Eng méi spéider Aktualiséierung vum Verwaltungsprofil kann d’Verbindung nei erstellen an ersetzen wat e Skript ugewannt huet, an den Ersatz wäert ausgesinn wéi eng Regressioun. Entscheet ob de Suite dem Profil, engem Skript oder dem Verwaltungskanal gehéiert, a maacht datt routineméisseg Aktualiséierungen deeselwechte Wee ginn wéi déi éischt Installatioun.

Zwee Eegentemer ass datselwecht wéi keen Eegentemer wann déi zwee sech net eens sinn. Schreift den Numm vum Eegentemer an den Ännerungsrekord vum Profil. Déi nächst Aktualiséierung wäert befollegen wat dee Rekord seet.

Iwwerpréift dat verhandelt Resultat, net de Paket

Liest de gespäicherte Profil an säin Ëmfang, da baut eng nei Verbindung op a vergläicht déi ausgewielt Proposen um Gateway. Bestätegt och d’Verhalen beim Schlësselnei-generéieren, well en éischten Handshake mat engem Suite ka geléngen deen eng méi spéit Phas ofleent.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Dräi Akzeptanzresultater sinn net déiselwecht Evenement: de Paket ass installéiert, de Profil existéiert mat der virgesinnener Politik, an d’Géigesäiten hunn en verhandelt. Haalt se getrennt, sou datt e fehlend Feld ni duerch en Ofschwächen vun der Authentifizéierung oder en Aktivéiere vun engem Fallback reparéiert gëtt deen keen ausgewielt huet.

Ähnlech Artikelen