Politika IKEv2 personalizzata f'Windows: applika bħala pass separat

Konnessjoni provduta u sett kriptografiku personalizzat huma żewġ riżultati. Qabbel l-oqsma tal-politika, l-iskop tal-profil u s-sid li jerġa' japplikahom.

Pakket ta' provviżjoni joħloq konnessjoni IKEv2, u l-profil li jirriżulta jinnegozja xi ħaġa differenti mis-sett li kellek f'moħħok. Il-pakket għamel xogħlu; ma kellux qatt qasam għax-xogħol li assumejt. Ittratta s-sett kriptografiku bħala pass ta' provviżjoni separat u verifikabbli.

Għaddi mill-ħames punti hawn taħt bl-ordni, u żomm ir-riżultati tal-aċċettazzjoni separati.

Żewġ tipi ta' politika wara ismijiet simili

Windows jissepara l-politika li tipproteġi l-iskambju tal-ċwievet mill-politika li tipproteġi t-traffiku. In-naħa IKE tiġi kkonfigurata b'metodu ta' ċifrar u metodu ta' integrità. In-naħa tad-data tiġi kkonfigurata b'kostanti taċ-ċifrar u tat-trasformazzjoni tal-awtentikazzjoni, u dawk il-kostanti jużaw ismijiethom stess. Tikketta AES waħda kkupjata fil-qasam żbaljat tipproduċi konnessjoni li tiġi stabbilita taħt politika li ħadd ma approva.

Il-grupp tal-iskambju tal-ċwievet u s-segretezza perfetta 'l quddiem jappartjenu għall-istess negozjar u għandhom ikunu aċċettabbli għall-gateway. L-issettjar tagħhom mingħajr ma tiċċekkja t-tarf 'il bogħod jipproduċi falliment fi stadju aktar tard minn dak li kont qed tedita, u għalhekk dawn l-iżbalji jidhru bħala problemi tal-gateway.

Ibni politika kompleta, mhux żewġ ismijiet ta' algoritmu

Ikteb kull qasam b'mod espliċitu, inklużi dawk li taħseb li huma defaults. Politika parzjali applikata b'bandiera ta' forza ssir il-konfigurazzjoni salvata, u l-valuri li ħallejt barra huma dawk li l-pjattaforma kellha f'dak il-mument. Valuri li jibdew bl-istess prefiss mhumiex interkambjabbli bejn l-oqsma, u wieħed mill-ismijiet tat-trasformazzjoni magħrufa huwa validu biss bħala trasformazzjoni tal-awtentikazzjoni.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Ittratta dak il-blokk bħala sett illustrattiv li ż-żewġ pari tiegħek iridu jappoġġjaw, mhux bħala rakkomandazzjoni. L-iswiċċ tal-forza jrażżan talba; ma japprovax pakket li ma rrevedejtx.

L-ewwel oħloq, imbagħad applika — fi skop wieħed

Il-konnessjoni trid teżisti qabel ma tista' tiġi ssettjata l-politika tagħha, u l-iskop irid jaqbel f'kull pass. Pass fil-kuntest tal-magna ma jistax isib il-profil privat ta' utent arbitrariu biss għax l-isem tal-wiri huwa l-istess. Konnessjonijiet tal-utenti kollha, konnessjonijiet tal-utent u d-direttorji tal-istat tagħhom huma oġġetti separati b'ismijiet separati.

L-ordni hija aktar importanti milli tidher f'pakket ta' provviżjoni, għax żewġ kmandi jistgħu jaħdmu eqreb lejn xulxin milli jieħu l-ħolqien tal-konnessjoni. Ippakkja x-xogħol wara l-konfigurazzjoni bħala kmand ta' provviżjoni approvat b'kuntest ta' eżekuzzjoni ddikjarat, u ħalli l-magna tal-provviżjoni tordnah minflok ma ddaħħal dewmien maħsub. Irqad li huwa twil biżżejjed fuq il-ħardwer tat-test tiegħek huwa kundizzjoni ta' tellieqa b'dewmien mehmuż. Irreġistra d-dipendenza, mhux it-tul.

L-oqsma ddokumentati tal-Configuration Designer jiddeskrivu setting wieħed tal-VPN u ma jesponux kull kontroll IPsec nattiv. Jekk ir-rekwiżit huwa kunsinna ġestita, il-fornitur tas-servizz tal-konfigurazzjoni VPNv2 għandu taqsima tas-sett kriptografiku proprju għal dan il-għan.

Semmi sid wieħed għall-politika

Aġġornament aktar tard tal-profil tal-ġestjoni jista' jerġa' joħloq il-konnessjoni u jissostitwixxi dak li applika skript, u s-sostituzzjoni tidher bħala rigressjoni. Iddeċiedi jekk is-sett huwiex proprjetà tal-profil, ta' skript jew tal-kanal tal-ġestjoni, u agħmel li l-aġġornamenti rutina jimxu mill-istess triq bħall-ewwel installazzjoni.

Żewġ sidien huma l-istess bħal ebda sid meta t-tnejn ma jaqblux. Ikteb l-isem tas-sid fir-rekord tal-bidliet tal-profil. L-aġġornament li jmiss se jimxi ma' dak li jgħid dak ir-rekord.

Ivverifika r-riżultat innegozjat, mhux il-pakket

Aqra l-profil salvat u l-iskop tiegħu, imbagħad stabbilixxi konnessjoni ġdida u qabbel il-proposti magħżula fil-gateway. Ikkonferma wkoll l-imġiba tat-tiġdid tal-ċwievet, għax handshake inizjali jista' jirnexxi b'sett li fażi aktar tard tirrifjuta.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tliet riżultati tal-aċċettazzjoni mhumiex l-istess avveniment: il-pakket ġie installat, il-profil jeżisti bil-politika maħsuba, u l-pari nnegozjawha. Żommhom separati, sabiex qasam nieqes qatt ma jiġi msewwi billi tiddgħajjef l-awtentikazzjoni jew billi tixgħel fallback li ħadd ma għażel.

Artikli relatati