Прилагодена IKEv2 политика во Windows: применете ја како посебен чекор

Обезбедената врска и прилагоденото криптографско множество се два одделни резултати. Усогласете ги полињата на политиката, опсегот на профилот и сопственикот што ги применува повторно.

Пакетот за обезбедување создава IKEv2 врска, а добиениот профил преговара нешто друго од множеството што го наменивте. Пакетот ја заврши својата работа; едноставно никогаш немал поле за работата што ја претпоставивте. Третирајте го криптографското множество како посебен и проверлив чекор на обезбедување.

Поминете ги петте точки подолу по ред и држете ги резултатите од прифаќањето одделно.

Два вида политика зад слични имиња

Windows ја одделува политиката што ја штити размената на клучеви од политиката што го штити сообраќајот. Страната IKE се конфигурира со метод на шифрирање и метод на интегритет. Страната на податоци се конфигурира со константи за шифра и за трансформација за автентикација, и тие константи користат свои имиња. Една AES ознака копирана во погрешното поле создава врска што се воспоставува според политика што никој не ја одобрил.

Групата за размена на клучеви и совршената тајност кон напред припаѓаат на истото преговарање и мора да бидат прифатливи за портата. Нивното поставување без проверка на далечниот крај создава отказ во подоцнежна фаза од онаа што ја уредувавте, и затоа овие грешки изгледаат како проблеми со портата.

Изградете целосна политика, не две имиња на алгоритам

Запишете го секое поле експлицитно, вклучително и оние што ги сметате за стандардни. Делумна политика применета со знаменце за присила станува зачуваната конфигурација, а вредностите што ги испуштивте се оние што платформата ги имала во тој момент. Вредностите што започнуваат со истиот префикс не се заменливи меѓу полињата, и едно од познатите имиња на трансформација важи само како трансформација за автентикација.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Третирајте го тој блок како илустративно множество што мора да го поддржат двете страни, а не како препорака. Прекинувачот за присила потиснува барање; тој не одобрува пакет што не сте го прегледале.

Прво создадете, потоа применете — во еден опсег

Врската мора да постои пред да може да се постави нејзината политика, и опсегот мора да се совпаѓа на секој чекор. Чекор во контекст на машина не може да најде приватен профил на произволен корисник само затоа што прикажаното име е исто. Врските за сите корисници, корисничките врски и нивните директориуми за состојба се одделни објекти со одделни имиња.

Редоследот е поважен отколку што изгледа во пакет за обезбедување, бидејќи две команди можат да се извршат поблиску една до друга отколку што е потребно за создавање на врската. Спакувајте ја работата по конфигурацијата како одобрена команда за обезбедување со деклариран контекст на извршување и дозволете ѝ на машината за обезбедување да ја подреди, наместо да вметнете претпоставено доцнење. Сон што е доволно долг на вашиот тест-хардвер е тркачка состојба со додадено доцнење. Запишете ја зависноста, не времетраењето.

Документираните полиња на Configuration Designer опишуваат една VPN-поставка и не го изложуваат секое вградено IPsec-управување. Ако барањето е управувана испорака, давателот на конфигурациската услуга VPNv2 има дел за криптографско множество токму за оваа цел.

Означете еден сопственик на политиката

Подоцнежно ажурирање на профилот за управување може повторно да ја создаде врската и да го замени она што го применила скрипта, а замената ќе изгледа како регресија. Одлучете дали множеството го поседува профилот, скрипта или каналот за управување, и направете рутинските ажурирања да го следат истиот пат како првата инсталација.

Два сопственици се исто како ниту еден кога двајцата не се согласуваат. Запишете го името на сопственикот во записот за промени на профилот. Следното ажурирање ќе го следи она што го вели тој запис.

Проверете го договорениот резултат, не пакетот

Прочитајте го зачуваниот профил и неговиот опсег, потоа воспоставете нова врска и споредете ги избраните предлози кај портата. Потврдете го и однесувањето при обновување на клучевите, бидејќи почетното ракување може да успее со множество што подоцнежна фаза го одбива.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Три резултати од прифаќањето не се истиот настан: пакетот е инсталиран, профилот постои со предвидената политика, и страните се договориле за неа. Држете ги одделно, за да не се поправи ниту едно поле што недостасува со слабеење на автентикацијата или со вклучување резервна опција што никој не ја избрал.

Поврзани статии