Windows-ийн IKEv2 тохируулсан бодлого: үүнийг тусдаа алхам болгон хэрэглэнэ үү

Бэлтгэсэн холболт болон тохируулсан криптографын багц нь хоёр өөр үр дүн. Бодлогын талбар, профайлын хүрээ, тэдгээрийг дахин хэрэглэх эзэмшигчийг нийцүүлээрэй.

Бэлтгэлийн багц IKEv2 холболт үүсгэдэг бөгөөд үүнээс үүсэх профайл таны төлөвлөсөн багцаас өөр зүйлийн талаар хэлэлцдэг. Багц өөрийн ажлыг хийсэн; түүнд таны таамагласан ажилд зориулсан талбар хэзээ ч байгаагүй. Криптографын багцыг тусдаа бөгөөд шалгаж болох бэлтгэлийн алхам гэж үзээрэй.

Доорх таван зүйлийг дарааллаар гүйцэтгэж, хүлээн авалтын үр дүнг тус тусад нь байлгаарай.

Ижил төстэй нэрсийн ард байх хоёр төрлийн бодлого

Windows түлхүүр солилцоог хамгаалах бодлогыг трафикийг хамгаалах бодлогоос тусгаарладаг. IKE тал нь шифрлэлтийн арга болон бүрэн бүтэн байдлын аргаар тохируулагддаг. Өгөгдлийн тал нь шифр болон нэвтрүүлэлтийн хувирлын тогтмолуудаар тохируулагддаг бөгөөд эдгээр тогтмолууд өөрийн нэрсийг ашигладаг. Буруу талбарт хуулагдсан нэг AES шошго нь хэн ч батлаагүй бодлогын дагуу тогтоогдох холболт үүсгэдэг.

Түлхүүр солилцооны бүлэг болон төгс урагш чиглэсэн нууцлал нь нэг хэлэлцээрт хамаарах бөгөөд гарцын хувьд хүлээн зөвшөөрөгдөх байх ёстой. Тэдгээрийг холын талыг шалгахгүйгээр тохируулах нь таны засаж байсан үе шатнаас хожуу үе шатанд алдаа гаргадаг, тиймээс эдгээр алдаа гарцын асуудал мэт харагддаг.

Бүрэн бодлого бүтээгээрэй, хоёр алгоритмын нэр биш

Талбар бүрийг тодорхой бичээрэй, анхдагч гэж үздэг талбаруудыг ч оруулан. Хүчний тугтай хэрэглэсэн хэсэгчилсэн бодлого нь хадгалагдсан тохиргоо болдог бөгөөд таны орхигдуулсан утгууд нь тухайн мөчид платформд байсан утгууд юм. Ижил угтвартай утгууд талбаруудын хооронд солигдохгүй бөгөөд мэдэгдэх хувирлын нэрсээс нэг нь зөвхөн нэвтрүүлэлтийн хувирал хэлбэрээр хүчинтэй.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Тэр блокыг хоёр тал дэмжих ёстой жишээ багц гэж үзээрэй, зөвлөмж гэж биш. Хүчний унтраалга хүсэлтийг дардаг; та хянаагүй багцыг тэр зөвшөөрөхгүй.

Эхлээд үүсгээд, дараа нь хэрэглээрэй — нэг хүрээнд

Бодлогыг тогтоохоос өмнө холболт байх ёстой бөгөөд хүрээ нь алхам бүрт тохирох ёстой. Машины контекст дахь алхам нь дэлгэцийн нэр ижил байна гэсэн шалтгаанаар дурын хэрэглэгчийн хувийн профайлыг олж чадахгүй. Бүх хэрэглэгчийн холболт, хэрэглэгчийн холболт болон тэдгээрийн төлөвийн хавтас нь тусдаа нэртэй тусдаа объектууд юм.

Дараалал нь бэлтгэлийн багцад харагдахаас илүү чухал, учир нь хоёр команд холболт үүсгэхэд шаардагдах хугацаанаас илүү ойр ажиллаж болно. Тохиргооны дараах ажлыг зарласан гүйцэтгэлийн контекст бүхий батлагдсан бэлтгэлийн команд болгон багцлаж, таамагласан саатал оруулахын оронд бэлтгэлийн хөдөлгүүрт дараалуулахыг зөвшөөрөөрэй. Туршилтын техник хэрэгсэл дээр хангалттай урт унтах нь саатал нэмсэн уралдааны нөхцөл юм. Хугацааг бус, хамаарлыг бүртгээрэй.

Баримтжуулсан Configuration Designer талбарууд нэг VPN тохиргоог дүрсэлдэг бөгөөд бүх төрөлх IPsec удирдлагыг илрүүлдэггүй. Хэрэв шаардлага нь удирдлагатай хүргэлт бол VPNv2 тохиргооны үйлчилгээ үзүүлэгч яг энэ зорилгоор криптографын багцын хэсэгтэй.

Бодлогын нэг эзэмшигчийг томилоорой

Хожим удирдлагын профайлын шинэчлэлт холболтыг дахин үүсгэж, скрипт хэрэглэсэн зүйлийг сольж болох бөгөөд орлуулалт нь ухралт мэт харагдана. Багц нь профайл, скрипт эсвэл удирдлагын сувагт хамаарах эсэхийг шийдэж, энгийн шинэчлэлтүүд анхны суулгалтын ижил замаар явахыг хангаарай.

Хоёр эзэмшигч санал нийлэхгүй бол эзэмшигчгүйтэй адил. Профайлын өөрчлөлтийн бүртгэлд эзэмшигчийн нэрийг бичээрэй. Дараагийн шинэчлэлт тэр бүртгэлд байгаа зүйлийг дагана.

Багцыг бус, хэлэлцэн тохирсон үр дүнг шалгаарай

Хадгалагдсан профайл болон түүний хүрээг уншаад, дараа нь шинэ холболт тогтоож, гарц дээр сонгосон саналуудыг харьцуулаарай. Түлхүүр шинэчлэх зан төлөвийг ч баталгаажуулаарай, учир нь анхны гар барилт нь хожуу үе шатнаас татгалздаг багцтай ч амжилттай болж болно.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Хүлээн авалтын гурван үр дүн нэг үйл явдал биш: багц суусан, профайл зорилгосон бодлоготойгоор байна, талууд түүний талаар хэлэлцсэн. Тэдгээрийг тус тусад нь байлгаарай, ингэснээр дутуу талбар нь нэвтрүүлэлтийг сулруулах эсвэл хэн ч сонгоогүй нөөц хувилбарыг асаах замаар хэзээ ч засагдахгүй.

Холбоотой нийтлэлүүд