Pasirinktinė IKEv2 politika sistemoje Windows: taikykite ją kaip atskirą veiksmą

Parengtas ryšys ir pasirinktinis kriptografinis rinkinys yra du skirtingi rezultatai. Suderinkite politikos laukus, profilio apimtį ir savininką, kuris juos pritaiko iš naujo.

Parengimo paketas sukuria IKEv2 ryšį, o gautas profilis derasi dėl kažko kito nei jūsų numatytas rinkinys. Paketas atliko savo darbą; jis tiesiog niekada neturėjo lauko tam darbui, kurį numatėte. Traktuokite kriptografinį rinkinį kaip atskirą ir patikrinamą parengimo veiksmą.

Atlikite penkis punktus žemiau iš eilės ir laikykite priėmimo rezultatus atskirai.

Dvi politikos rūšys už panašių pavadinimų

Windows atskiria politiką, kuri apsaugo raktų mainus, nuo politikos, kuri apsaugo srautą. IKE pusė konfigūruojama šifravimo metodu ir vientisumo metodu. Duomenų pusė konfigūruojama šifro ir autentifikavimo transformacijos konstantomis, ir tos konstantos naudoja savo pavadinimus. Viena AES žymė, nukopijuota į neteisingą lauką, sukuria ryšį, kuris nustatomas pagal politiką, kurios niekas nepatvirtino.

Raktų mainų grupė ir tobulas tiesioginis slaptumas priklauso tai pačiai deryboms ir turi būti priimtini tinklų sietuvui. Jų nustatymas netikrinus tolimojo galo sukelia gedimą vėlesniame etape nei tas, kurį redagavote, todėl šios klaidos atrodo kaip tinklų sietuvo problemos.

Sukurkite visą politiką, o ne du algoritmo pavadinimus

Užrašykite kiekvieną lauką aiškiai, įskaitant tuos, kuriuos laikote numatytaisiais. Dalinė politika, pritaikyta su prievartos vėliavėle, tampa išsaugota konfigūracija, o praleistos reikšmės yra tos, kurias platforma turėjo tuo momentu. Reikšmės, prasidedančios tuo pačiu priešdėliu, nėra keičiamos tarp laukų, ir vienas iš žinomų transformacijos pavadinimų galioja tik kaip autentifikavimo transformacija.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Traktuokite tą bloką kaip iliustracinį rinkinį, kurį turi palaikyti abi jūsų šalys, o ne kaip rekomendaciją. Prievartos jungiklis nuslopina užklausą; jis nepatvirtina paketo, kurio neperžiūrėjote.

Pirmiausia sukurkite, tada taikykite — vienoje apimtyje

Ryšys turi egzistuoti prieš nustatant jo politiką, o apimtis turi sutapti kiekviename veiksme. Mašinos konteksto veiksmas negali rasti bet kurio naudotojo privataus profilio vien todėl, kad rodomas pavadinimas yra tas pats. Visų naudotojų ryšiai, naudotojo ryšiai ir jų būsenos katalogai yra atskiri objektai su atskirais pavadinimais.

Tvarka svarbesnė, nei atrodo parengimo pakete, nes dvi komandos gali įvykti arčiau viena kitos, nei užtrunka sukurti ryšį. Supakuokite darbą po konfigūravimo kaip patvirtintą parengimo komandą su deklaruotu vykdymo kontekstu ir leiskite parengimo varikliui ją surikiuoti, o ne įterpti spėjamą delsą. Miegas, kuris jūsų bandymų aparatinėje įrangoje yra pakankamai ilgas, yra lenktynių sąlyga su pridėtu delsos. Užrašykite priklausomybę, o ne trukmę.

Dokumentuoti Configuration Designer laukai apibūdina vieną VPN nustatymą ir neatskleidžia visos vietinės IPsec kontrolės. Jei reikalavimas yra valdomas pristatymas, VPNv2 konfigūracijos paslaugos teikėjas turi kriptografinio rinkinio skyrių būtent šiam tikslui.

Paskirkite vieną politikos savininką

Vėlesnis valdymo profilio atnaujinimas gali iš naujo sukurti ryšį ir pakeisti tai, ką pritaikė scenarijus, o pakeitimas atrodys kaip regresija. Nuspręskite, ar rinkinys priklauso profiliui, scenarijui, ar valdymo kanalui, ir padarykite, kad įprasti atnaujinimai eitų tuo pačiu keliu kaip pirmoji instaliacija.

Du savininkai yra tas pats kaip nė vieno, kai du nesutaria. Įrašykite savininko vardą į profilio pakeitimų įrašą. Kitas atnaujinimas vadovausis tuo, ką sako tas įrašas.

Tikrinkite suderėtą rezultatą, o ne paketą

Perskaitykite išsaugotą profilį ir jo apimtį, tada užmegzkite naują ryšį ir palyginkite pasirinktus pasiūlymus tinklų sietuvo pusėje. Patvirtinkite ir raktų atnaujinimo elgseną, nes pradinis rankos paspaudimas gali pavykti su rinkiniu, kurį vėlesnė fazė atmeta.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Trys priėmimo rezultatai nėra tas pats įvykis: paketas įdiegtas, profilis egzistuoja su numatyta politika, ir šalys dėl jos susitarė. Laikykite juos atskirai, kad trūkstamas laukas niekada nebūtų pataisytas susilpninus autentifikavimą ar įjungus atsarginį variantą, kurio niekas nepasirinko.

Susiję straipsniai