Windows IKEv2 pielāgotā politika: izmantojiet to kā atsevišķu soli

Gatavots savienojums un pielāgota kriptogrāfiskā kopa ir divi atsevišķi rezultāti. Saskaņojiet politikas laukus, profila tvērumu un īpašnieku, kas tos piemēro atkārtoti.

Gatavošanas pakotne izveido IKEv2 savienojumu, un iegūtais profils pārrunā kaut ko citu nekā jūsu paredzētā kopa. Pakotne izdarīja savu darbu; tai vienkārši nekad nebija lauka tam darbam, ko jūs pieņēmāt. Uztveriet kriptogrāfisko kopu kā atsevišķu un pārbaudāmu gatavošanas soli.

Izejiet piecus punktus zemāk pēc kārtas un turiet pieņemšanas rezultātus atsevišķi.

Divi politikas veidi aiz līdzīgiem nosaukumiem

Windows atdala politiku, kas aizsargā atslēgu apmaiņu, no politikas, kas aizsargā datplūsmu. IKE puse tiek konfigurēta ar šifrēšanas metodi un integritātes metodi. Datu puse tiek konfigurēta ar šifra un autentifikācijas transformācijas konstantēm, un šīs konstantes izmanto savus nosaukumus. Viena AES etiķete, kas iekopēta nepareizajā laukā, rada savienojumu, kas tiek izveidots saskaņā ar politiku, kuru neviens nav apstiprinājis.

Atslēgu apmaiņas grupa un ideālā uz priekšu vērstā noslēpumainība pieder tai pašai sarunai un tām jābūt pieņemamām vārtejai. To iestatīšana, nepārbaudot tālo pusi, rada kļūmi vēlākā posmā nekā tas, kuru jūs rediģējāt, un tāpēc šīs kļūdas izskatās kā vārtejas problēmas.

Veidojiet pilnu politiku, nevis divus algoritmu nosaukumus

Ierakstiet katru lauku skaidri, tostarp tos, ko uzskatāt par noklusējumiem. Daļēja politika, kas piemērota ar piespiedu karodziņu, kļūst par saglabāto konfigurāciju, un izlaistās vērtības ir tās, kas platformai tajā brīdī bija. Vērtības, kas sākas ar to pašu prefiksu, nav savstarpēji aizstājamas starp laukiem, un viens no zināmajiem transformācijas nosaukumiem ir derīgs tikai kā autentifikācijas transformācija.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Uztveriet šo bloku kā ilustratīvu kopu, kas jāatbalsta abām jūsu pusēm, nevis kā ieteikumu. Piespiedu slēdzis nomāc uzvedni; tas neapstiprina pakotni, kuru jūs neesat pārskatījis.

Vispirms izveidojiet, pēc tam piemērojiet — vienā tvērumā

Savienojumam jāpastāv pirms tā politikas iestatīšanas, un tvērumam jāsakrīt katrā solī. Mašīnas konteksta solis nevar atrast patvaļīga lietotāja privāto profilu tikai tāpēc, ka parādītais nosaukums ir tāds pats. Visu lietotāju savienojumi, lietotāja savienojumi un to stāvokļa direktorijas ir atsevišķi objekti ar atsevišķiem nosaukumiem.

Secība ir svarīgāka, nekā izskatās gatavošanas pakotnē, jo divas komandas var izpildīties tuvāk viena otrai, nekā nepieciešams savienojuma izveidei. Iepakojiet darbu pēc konfigurācijas kā apstiprinātu gatavošanas komandu ar deklarētu izpildes kontekstu un ļaujiet gatavošanas dzinim to sakārtot, nevis ievietot minētu aizkavi. Miegs, kas jūsu testa aparatūrā ir pietiekami ilgs, ir sacensību stāvoklis ar aizkavi klāt. Reģistrējiet atkarību, nevis ilgumu.

Dokumentētie Configuration Designer lauki apraksta vienu VPN iestatījumu un neatklāj visas vietējās IPsec vadības. Ja prasība ir pārvaldīta piegāde, VPNv2 konfigurācijas pakalpojuma sniedzējam ir kriptogrāfiskās kopas sadaļa tieši šim nolūkam.

Nozīmējiet vienu politikas īpašnieku

Vēlāks pārvaldības profila atjauninājums var atkārtoti izveidot savienojumu un aizstāt to, ko piemēroja skripts, un aizstāšana izskatīsies kā regresija. Izlemiet, vai kopa pieder profilam, skriptam vai pārvaldības kanālam, un panāciet, ka regulārie atjauninājumi iet to pašu ceļu kā pirmā instalācija.

Divi īpašnieki ir tas pats, kas neviena, ja abi nepiekrīt. Ierakstiet īpašnieka vārdu profila izmaiņu ierakstā. Nākamais atjauninājums sekos tam, ko saka šis ieraksts.

Pārbaudiet pārrunāto rezultātu, nevis pakotni

Izlasiet saglabāto profilu un tā tvērumu, pēc tam izveidojiet jaunu savienojumu un salīdziniet atlasītos priekšlikumus pie vārtejas. Apstipriniet arī atslēgu atjaunošanas uzvedību, jo sākotnējā rokasspiediena var izdoties ar kopu, kuru vēlāka fāze noraida.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Trīs pieņemšanas rezultāti nav viens un tas pats notikums: pakotne ir instalēta, profils pastāv ar paredzēto politiku, un puses par to vienojušās. Turiet tos atsevišķi, lai trūkstošais lauks nekad netiktu salabots, vājinot autentifikāciju vai ieslēdzot rezerves variantu, kuru neviens nav izvēlējies.

Saistītie raksti