Għaliex il-Windows IKEv2 nattiv m’għandux lanqas qasam PSK

Id-dokumentazzjoni tal-gateway tgħid li ċ-ċavetta kondiviża minn qabel tiddaħħal fil-klijent, iżda l-profil tal-Windows m’għandux qasam għaliha. Dan il-vojt mhuwiex bug li jiġi evitat billi tittajpja ċ-ċavetta fil-kaxxa tal-password. Hija d-differenza bejn dak li jista’ jagħmel protokoll u dak li joffri implimentazzjoni partikolari.

Il-kapaċità tal-protokoll mhijiex appoġġ tal-klijent

L-ispeċifikazzjoni IKEv2 tinkludi l-awtentikazzjoni b’ċavetta kondiviża, għalhekk gateway jista’ jiġi kkonfigurat għaliha b’mod leġittimu. Il-profil nattiv tal-aċċess mill-bogħod tal-Windows jiddokumenta minflok arranġamenti b’ċertifikati u EAP, u l-kapaċità tal-protokoll ma toħloqx qasam, parametru jew valur tar-reġistru li l-klijent qatt ma kellu.

In-nies normalment jispiċċaw fuq referenza tal-PowerShell għaż-żieda ta’ konnessjoni VPN, u hemmhekk L2tpPsk jintwera għall-arranġament L2TP. Dak il-parametru jappartjeni lil L2TP u mhuwiex sigriet IKEv2 ġenerali. Is-settings tal-għażla tal-algoritmu jagħżlu parametri ta’ protezzjoni, li hija t-tielet ħaġa mhux relatata. Ir-rwol tar-routing fil-Windows Server lanqas mhuwa l-istess oġġett. Interfaċċa tas-server tista’ jkollha kontrolli tal-konfigurazzjoni li profil tal-klijent tad-desktop m’għandux, u l-kopja ta’ setting tas-server fi profil ta’ workstation ma tirriproduċix il-kapaċità.

Agħżel bejn ċertifikat, EAP jew L2TP

Jekk l-operatur tal-gateway jaċċetta l-awtentikazzjoni b’ċertifikat, dik normalment hija d-destinazzjoni l-aktar nadifa: il-klijent jippreżenta ċertifikat, il-gateway jivvalidah ma’ emittent affidabbli, u l-ebda sigriet kondiviż ma jibqa’ fi profil biex xi ħadd jikkupjah. Dan jeħtieġ reġistrazzjoni, katina affidabbli u konfigurazzjoni tal-gateway li tgħaqqad iċ-ċertifikat ma’ deċiżjoni ta’ awtorizzazzjoni.

EAP b’kredenzjali tal-utent huwa t-triq l-oħra appoġġjata fuq dan il-klijent, u jċaqlaq id-deċiżjoni għal fornitur tal-identità. Iġib ukoll id-dipendenzi tiegħu stess, għax il-metodu EAP, iċ-ċertifikat tas-server u l-fiduċja tal-klijent f’dak iċ-ċertifikat iridu kollha jaqblu. Il-bidla għal L2TP/IPsec biss biex tinkiseb qasam familjari tbiddel il-pila tal-protokolli. Dan huwa aċċettabbli meta tkun għażla appoġġjata b’raġuni dokumentata, u huwa riżultat ħażin meta jiġri għax xi ħadd kien qed ifittex kaxxa biex jittajpja ċavetta fiha.

Iċċekkja x’se jaċċetta l-gateway

Staqsi lill-operatur liema metodi ta’ awtentikazzjoni qed toffri s-servizz tal-aċċess mill-bogħod illum, mhux liema jappoġġja l-prodott b’mod ġenerali. Servizz ikkonfigurat għal IKEv2 biss b’PSK mhuwiex se jaċċetta ċertifikat għax il-klijent jippreferixxi wieħed.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Aqra l-metodu ta’ awtentikazzjoni tal-profil u l-maħżen taċ-ċertifikati flimkien. Profil issettjat għal EAP mingħajr ċertifikat użabbli warajh ifalli b’mod li jidher bħal problema tas-server.

Jekk it-tweġiba hija li hemm biss PSK disponibbli, l-għażliet onesti huma klijent approvat li jappoġġjah jew bidla fid-disinn tal-awtentikazzjoni tal-gateway. L-ebda waħda mhija soluzzjoni lokali, u l-pretensjoni bil-kontra toħloq konnessjoni li tista’ tirriproduċiha biss il-persuna li kkonfiguratha.

Irreġistra d-deċiżjoni u s-sigrieti

Irreġistra l-metodu magħżul, l-ankra tal-fiduċja, l-identità li taqbel miegħu u l-persuna li approvat il-bidla. Dak ir-rekord huwa dak li teħtieġ reviżjoni ta’ inċident, u huwa wkoll dak li jżomm lill-inġinier li jmiss milli jerġa’ jiskopri l-istess triq mingħajr ħruġ.

Żomm is-sigrieti separati fin-noti tiegħek: password tal-kont, passphrase taċ-ċavetta privata u ċavetta kondiviża minn qabel tal-gateway huma tliet affarijiet differenti, anke meta skrin tas-settings isejħilhom kollha password. Il-konfużjoni tagħhom hija kif ċavetta tispiċċa fi ticket. Ittestja l-profil li jirriżulta b’konnessjoni ġdida u b’talba waħda tal-applikazzjoni lejn riżorsa privata. Tunnel b’suċċess mingħajr servizz aċċessibbli huwa riżultat parzjali, u l-profil m’għandux jiġi deskritt bħala lest sakemm jaħdem ukoll ir-riżorsa.