Яагаад төрөлх Windows IKEv2-д PSK талбар огт байхгүй вэ

Гарцын баримт бичигт урьдчилан хуваалцсан түлхүүрийг клиентэд оруулна гэж бичсэн боловч Windows профайлд түүнд зориулсан талбар байхгүй. Энэ зөрүү нь түлхүүрийг нууц үгийн хайрцагт бичиж тойрч гарах алдаа биш. Энэ нь протокол юу хийж чадах ба тодорхой хэрэгжүүлэлт юу санал болгодог хоёрын хоорондын ялгаа юм.

Протоколын чадвар нь клиентийн дэмжлэг биш

IKEv2-ын үзүүлэлт хуваалцсан түлхүүрээр баталгаажуулалтыг агуулдаг тул гарцыг түүнд зориулж хууль ёсоор тохируулж болно. Windows-ын төрөлх алсын хандалтын профайл оронд нь сертификат болон EAP-ийн зохицуулалтыг баримтжуулдаг бөгөөд протоколын чадвар нь клиентэд хэзээ ч байгаагүй талбар, параметр эсвэл бүртгэлийн утгыг үүсгэдэггүй.

Хүмүүс ихэвчлэн VPN холболт нэмэх PowerShell лавлагаа хуудсанд хүрдэг бөгөөд тэнд L2TP зохицуулалтад зориулж L2tpPsk харуулсан байдаг. Тэр параметр нь L2TP-д хамаарах бөгөөд ерөнхий IKEv2 нууц биш. Алгоритм сонгох тохиргоо нь хамгаалалтын параметрүүдийг сонгодог бөгөөд энэ нь гурав дахь, холбоогүй зүйл юм. Windows Server-ийн чиглүүлэлтийн үүрэг ч мөн ижил объект биш. Серверийн интерфейсэд ширээний клиентийн профайлд байхгүй тохиргооны удирдлагууд байж болох бөгөөд серверийн тохиргоог ажлын станцын профайлд хуулах нь тэр чадварыг дахин үүсгэхгүй.

Сертификат, EAP эсвэл L2TP-ийн аль нэгийг сонго

Хэрэв гарцын оператор сертификатаар баталгаажуулалтыг хүлээж авбал энэ нь ихэвчлэн хамгийн цэвэр зорилго юм: клиент сертификат үзүүлж, гарц түүнийг итгэмжлэгдсэн олгогчид шалгаж, профайлд хэн нэгэн хуулж болох хуваалцсан нууц үлдэхгүй. Үүнд бүртгэл, итгэмжлэгдсэн гинжин хэлхээ, сертификатыг зөвшөөрлийн шийдвэртэй холбосон гарцын тохиргоо хэрэгтэй.

Хэрэглэгчийн итгэмжлэл бүхий EAP нь энэ клиент дээрх өөр нэг дэмжигдсэн зам бөгөөд шийдвэрийг таних үйлчилгээ үзүүлэгч рүү шилжүүлдэг. Энэ нь өөрийн хамаарлыг авчирдаг, учир нь EAP арга, серверийн сертификат, клиентийн тэр сертификатад итгэх итгэл бүгд нийцэх ёстой. Зөвхөн танил талбар авахын тулд L2TP/IPsec руу шилжих нь протоколын стекийг өөрчилдөг. Энэ нь баримтжуулсан шалтгаантай дэмжигдсэн сонголт үед хүлээн зөвшөөрөгдөх бөгөөд хэн нэгэн түлхүүр бичих хайрцаг хайснаас болж тохиолдвол муу үр дүн юм.

Гарц юу хүлээж авахыг шалга

Оператороос алсын хандалтын үйлчилгээ өнөөдөр ямар баталгаажуулалтын аргууд санал болгодог, бүтээгдэхүүн ерөнхийдөө аль аргыг дэмждэг биш гэж асуу. Зөвхөн PSK-д зориулж тохируулсан IKEv2 үйлчилгээ клиент үүнийг илүүд үздэг гэсэн шалтгаанаар сертификат хүлээж авахгүй.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Профайлын баталгаажуулалтын арга болон сертификатын санг хамт унш. Ард нь ашиглах боломжтой сертификатгүй EAP-д тохируулсан профайл серверийн асуудал мэт харагдах байдлаар бүтэлгүйтдэг.

Хэрэв хариулт нь зөвхөн PSK боломжтой гэж байвал шударга сонголтууд нь түүнийг дэмждэг зөвшөөрөгдсөн клиент эсвэл гарцын баталгаажуулалтын загварын өөрчлөлт юм. Аль нь ч локал тойрч гарах арга биш бөгөөд эсрэгээр дүр үзүүлэх нь зөвхөн тохируулсан хүн л давтаж чадах холболтыг бий болгодог.

Шийдвэр болон нууцуудыг тэмдэглэ

Сонгосон арга, итгэлийн зангуу, түүнд харгалзах таних тэмдэг, өөрчлөлтийг зөвшөөрсөн хүнийг тэмдэглэ. Тэр бичлэг нь ослын хяналтад хэрэгтэй зүйл бөгөөд дараагийн инженер нэг л мухар замаа дахин нээхээс сэргийлдэг.

Тэмдэглэлдээ нууцуудыг тус тусад нь хадгал: бүртгэлийн нууц үг, хувийн түлхүүрийн нууц үг хэллэг, гарцын урьдчилан хуваалцсан түлхүүр нь гурван өөр зүйл бөгөөд тохиргооны дэлгэц бүгдийг нь нууц үг гэж нэрлэсэн ч мөн адил. Тэдгээрийг хольж хутгах нь түлхүүр тасалбарт орох зам юм. Үүссэн профайлыг шинэ холболт болон хувийн нөөц рүү нэг аппликейшн хүсэлтээр турш. Хүрч болох үйлчилгээгүй амжилттай туннель нь хэсэгчилсэн үр дүн бөгөөд нөөц ч ажиллах хүртэл профайлыг дууссан гэж тодорхойлж болохгүй.