Dasar IKEv2 tersuai Windows: gunakannya sebagai langkah tersendiri

Pakej peruntukan mencipta sambungan IKEv2, dan profil yang terhasil berunding sesuatu yang berbeza daripada suite yang anda maksudkan. Pakej itu menjalankan tugasnya; ia tidak pernah mempunyai medan untuk tugas yang anda andaikan. Anggap suite kripto sebagai langkah peruntukan berasingan yang boleh disahkan.

Lakukan lima perkara di bawah mengikut urutan, dan asingkan hasil penerimaan.

Dua jenis dasar di sebalik nama yang serupa

Windows memisahkan dasar yang melindungi pertukaran kunci daripada dasar yang melindungi trafik. Bahagian IKE dikonfigurasikan dengan kaedah penyulitan dan kaedah integriti. Bahagian data dikonfigurasikan dengan pemalar sifer dan pemalar transformasi pengesahan, dan pemalar itu menggunakan nama mereka sendiri. Satu label AES yang disalin ke medan yang salah menghasilkan sambungan yang terbentuk di bawah dasar yang tiada siapa meluluskan.

Kumpulan pertukaran kunci dan kerahsiaan ke hadapan sempurna tergolong dalam rundingan yang sama dan mesti boleh diterima oleh get laluan. Menetapkannya tanpa memeriksa hujung jauh menghasilkan kegagalan pada peringkat yang lebih lewat daripada peringkat yang anda sunting, dan itulah sebabnya kesilapan ini kelihatan seperti masalah get laluan.

Bina dasar yang lengkap, bukan dua nama algoritma

Tulis setiap medan secara eksplisit, termasuk yang anda anggap lalai. Dasar separa yang digunakan dengan bendera paksa menjadi konfigurasi yang disimpan, dan nilai yang anda tinggalkan ialah apa sahaja yang dimiliki platform pada masa itu. Nilai yang bermula dengan awalan sama tidak boleh ditukar ganti antara medan, dan salah satu nama transformasi yang terkenal hanya sah sebagai transformasi pengesahan.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Anggap blok itu sebagai suite ilustrasi yang mesti disokong oleh kedua-dua rakan anda, bukan sebagai cadangan. Suis paksa menekan gesaan; ia tidak meluluskan pakej yang belum anda semak.

Cipta dahulu, kemudian gunakan — dalam satu skop

Sambungan mesti wujud sebelum dasarnya boleh ditetapkan, dan skop mesti sepadan pada setiap langkah. Langkah dalam konteks mesin tidak boleh menemui profil peribadi pengguna sewenang-wenangnya hanya kerana nama paparan itu sama. Sambungan semua pengguna, sambungan pengguna dan direktori keadaan mereka ialah objek berasingan dengan nama berasingan.

Urutan lebih penting daripada yang kelihatan dalam pakej peruntukan, kerana dua arahan boleh berjalan lebih rapat daripada masa yang diambil untuk mencipta sambungan. Bungkus kerja selepas konfigurasi sebagai arahan peruntukan yang diluluskan dengan konteks pelaksanaan yang diisytiharkan, dan biarkan enjin peruntukan menyusunnya dan bukannya memasukkan kelewatan tekaan. Tidur yang cukup panjang pada perkakasan ujian anda ialah keadaan perlumbaan dengan kelewatan dilampirkan. Rekod kebergantungan, bukan tempoh.

Medan Configuration Designer yang didokumenkan menerangkan satu tetapan VPN dan tidak mendedahkan setiap kawalan IPsec asli. Jika keperluan ialah penghantaran terurus, pembekal perkhidmatan konfigurasi VPNv2 mempunyai bahagian suite kriptografi khusus untuk tujuan ini.

Namakan satu pemilik untuk dasar itu

Kemas kini profil pengurusan kemudian boleh mencipta semula sambungan dan menggantikan apa sahaja yang digunakan oleh skrip, dan penggantian itu akan kelihatan seperti kemunduran. Tentukan sama ada suite dimiliki oleh profil, skrip atau saluran pengurusan, dan pastikan kemas kini rutin mengikut laluan yang sama seperti pemasangan pertama.

Dua pemilik sama seperti tiada pemilik apabila kedua-duanya tidak bersetuju. Tulis nama pemilik dalam rekod perubahan profil. Kemas kini seterusnya akan mengikut apa yang dikatakan rekod itu.

Sahkan hasil yang dirundingkan, bukan pakejnya

Baca profil yang disimpan dan skopnya, kemudian tubuhkan sambungan baharu dan bandingkan cadangan yang dipilih di get laluan. Sahkan juga tingkah laku penjanaan semula kunci, kerana jabat tangan awal boleh berjaya dengan suite yang ditolak oleh fasa kemudian.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tiga hasil penerimaan bukan peristiwa yang sama: pakej dipasang, profil wujud dengan dasar yang dimaksudkan, dan rakan-rakan berunding mengenainya. Asingkan ketiga-tiganya, supaya medan yang hilang tidak pernah dibaiki dengan melemahkan pengesahan atau mendayakan sandaran yang tiada siapa pilih.