Windows मधील IKEv2 सानुकूल धोरण: ते स्वतंत्र पायरी म्हणून लागू करा

प्रोव्हिजनिंग पॅकेज IKEv2 कनेक्शन तयार करते, आणि त्यातून तयार होणारी प्रोफाइल तुम्ही ठरवलेल्या संचापेक्षा वेगळ्या गोष्टीवर वाटाघाटी करते। पॅकेजने आपले काम केले; तुम्ही गृहीत धरलेल्या कामासाठी त्यात कधीच फील्ड नव्हते। क्रिप्टो संचाला स्वतंत्र आणि पडताळणीयोग्य प्रोव्हिजनिंग पायरी म्हणून हाताळा।

खालील पाच बाबी क्रमाने पूर्ण करा आणि स्वीकृती निकाल वेगळे ठेवा।

सारख्याच नावांमागील दोन प्रकारचे धोरण

Windows की एक्स्चेंजचे रक्षण करणारे धोरण ट्राफिकचे रक्षण करणार्‍या धोरणापासून वेगळे करते। IKE बाजू एन्क्रिप्शन पद्धत आणि अखंडता पद्धतीने संरचित केली जाते। डेटा बाजू सायफर आणि ऑथेंटिकेशन ट्रान्सफॉर्म स्थिरांकांनी संरचित केली जाते, आणि ते स्थिरांक स्वतःची नावे वापरतात। चुकीच्या फील्डमध्ये कॉपी केलेले एक AES लेबल असे कनेक्शन तयार करते जे कोणीही मंजूर न केलेल्या धोरणाखाली प्रस्थापित होते।

की एक्स्चेंज गट आणि परिपूर्ण पुढे जाणारी गुप्तता एकाच वाटाघाटीचा भाग आहेत आणि गेटवेसाठी स्वीकारार्ह असावेत। दूरचे टोक न तपासता ते सेट केल्यास तुम्ही संपादित करत असलेल्या टप्प्यापेक्षा नंतरच्या टप्प्यात अयशस्वीता येते, आणि म्हणूनच हे दोष गेटवेच्या समस्यांसारखे दिसतात।

दोन अल्गोरिदम नावे नव्हे, संपूर्ण धोरण तयार करा

प्रत्येक फील्ड स्पष्टपणे लिहा, तुम्ही डीफॉल्ट मानता त्या फील्डसह। फोर्स फ्लॅगसह लागू केलेले अर्धवट धोरण जतन केलेली संरचना बनते, आणि तुम्ही वगळलेली मूल्ये त्या क्षणी प्लॅटफॉर्मकडे होती ती असतात। एकाच उपसर्गाने सुरू होणारी मूल्ये फील्डांमध्ये अदलाबदल करता येत नाहीत, आणि ज्ञात ट्रान्सफॉर्म नावांपैकी एक केवळ ऑथेंटिकेशन ट्रान्सफॉर्म म्हणून वैध आहे।

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

तो ब्लॉक तुमच्या दोन्ही पीअरना समर्थित करावा लागणारा उदाहरणात्मक संच म्हणून घ्या, शिफारस म्हणून नाही। फोर्स स्विच प्रॉम्प्ट दाबतो; तुम्ही पुनरावलोकन न केलेले पॅकेज तो मंजूर करत नाही।

आधी तयार करा, नंतर लागू करा — एकाच व्याप्तीत

धोरण सेट करण्यापूर्वी कनेक्शन असणे आवश्यक आहे, आणि प्रत्येक पायरीत व्याप्ती जुळली पाहिजे। मशीन-संदर्भातील पायरी केवळ प्रदर्शित नाव सारखे आहे म्हणून कोणत्याही वापरकर्त्याची खाजगी प्रोफाइल शोधू शकत नाही। सर्व-वापरकर्ता कनेक्शन, वापरकर्ता कनेक्शन आणि त्यांच्या स्थिती निर्देशिका वेगवेगळ्या नावांच्या वेगळ्या वस्तू आहेत।

क्रम प्रोव्हिजनिंग पॅकेजमध्ये दिसते त्यापेक्षा अधिक महत्त्वाचा आहे, कारण दोन आदेश कनेक्शन तयार होण्यास लागणार्‍या वेळेपेक्षा जवळ चालू शकतात। संरचनेनंतरचे काम घोषित अंमलबजावणी संदर्भासह मंजूर प्रोव्हिजनिंग आदेश म्हणून पॅकेज करा, आणि अंदाजित विलंब घालण्याऐवजी प्रोव्हिजनिंग इंजिनला त्याचा क्रम ठरवू द्या। तुमच्या चाचणी हार्डवेअरवर पुरेशी लांब झोप ही विलंब जोडलेली स्पर्धा-स्थिती आहे। कालावधी नव्हे, अवलंबित्व नोंदवा।

दस्तऐवजीकृत Configuration Designer फील्ड एक VPN सेटिंगचे वर्णन करतात आणि प्रत्येक मूळ IPsec नियंत्रण उघड करत नाहीत। आवश्यकता व्यवस्थापित वितरण असेल, तर VPNv2 संरचना सेवा पुरवठादाराकडे याच हेतूने क्रिप्टोग्राफी संच विभाग आहे।

धोरणासाठी एकच मालक नेमा

नंतरचे व्यवस्थापन-प्रोफाइल अद्यतन कनेक्शन पुन्हा तयार करू शकते आणि स्क्रिप्टने लागू केलेले बदलू शकते, आणि ती जागा घेणे घसरणीसारखे दिसेल। संच प्रोफाइलचा, स्क्रिप्टचा की व्यवस्थापन मार्गाचा आहे हे ठरवा, आणि नियमित अद्यतने पहिल्या प्रतिष्ठापनेचा तोच मार्ग अनुसरतील याची खात्री करा।

दोन मालक असहमत असतील तेव्हा ते मालक नसल्यासारखेच असते। प्रोफाइलच्या बदल नोंदीत मालकाचे नाव लिहा। पुढील अद्यतन ती नोंद जे सांगते ते अनुसरते।

पॅकेज नव्हे, वाटाघाटीत ठरलेला निकाल पडताळा

जतन केलेली प्रोफाइल आणि तिची व्याप्ती वाचा, नंतर नवीन कनेक्शन प्रस्थापित करा आणि गेटवेवर निवडलेल्या प्रस्तावांची तुलना करा। की पुनर्निर्मितीचे वर्तनही पुष्टी करा, कारण सुरुवातीचा हस्तांदोलन नंतरचा टप्पा नाकारतो अशा संचासह यशस्वी होऊ शकतो।

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

तीन स्वीकृती निकाल एकच घटना नाहीत: पॅकेज प्रतिष्ठापित झाले, प्रोफाइल इच्छित धोरणासह अस्तित्वात आहे, आणि पीअरनी त्यावर वाटाघाटी केली। ते वेगळे ठेवा, जेणेकरून गहाळ फील्ड कधीही ऑथेंटिकेशन कमजोर करून किंवा कोणीही न निवडलेला फॉलबॅक सक्षम करून दुरुस्त होणार नाही।