Windows IKEv2 egendefinert policy: bruk den som et eget trinn

En klargjort tilkobling og et egendefinert kryptosett er to resultater. Få policyfeltene, profilomfanget og eieren som bruker dem på nytt til å stemme.

En klargjøringspakke oppretter en IKEv2-tilkobling, og profilen som oppstår forhandler om noe annet enn settet du hadde tenkt. Pakken gjorde jobben sin; den hadde bare aldri et felt for jobben du antok. Behandle kryptosettet som et eget, verifiserbart klargjøringstrinn.

Gå gjennom de fem punktene nedenfor i rekkefølge, og hold akseptresultatene atskilt.

To slags policy bak like navn

Windows skiller policyen som beskytter nøkkelutvekslingen fra policyen som beskytter trafikken. IKE-siden konfigureres med en krypteringsmetode og en integritetsmetode. Datasiden konfigureres med chiffer- og autentiseringstransformkonstanter, og disse konstantene bruker egne navn. Én AES-etikett kopiert inn i feil felt gir en tilkobling som etableres under en policy ingen har godkjent.

Nøkkelutvekslingsgruppe og perfekt forward secrecy hører til samme forhandling og må være akseptable for gatewayen. Å sette dem uten å kontrollere den andre enden gir en feil på et senere trinn enn det du redigerte, og derfor ser disse feilene ut som gateway-problemer.

Bygg en fullstendig policy, ikke to algoritmenavn

Skriv hvert felt eksplisitt, også dem du tror er standardverdier. En delvis policy brukt med et tving-flag blir den lagrede konfigurasjonen, og verdiene du utelot er det plattformen hadde i det øyeblikket. Verdier som begynner med samme prefiks er ikke utskiftbare mellom felt, og ett av de kjente transformnavnene er bare gyldig som autentiseringstransform.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Behandle den blokken som et illustrerende sett begge motpartene må støtte, ikke som en anbefaling. Tving-bryteren undertrykker en forespørsel; den godkjenner ikke en pakke du ikke har gjennomgått.

Opprett først, bruk deretter — i ett omfang

Tilkoblingen må finnes før policyen kan settes, og omfanget må stemme i hvert trinn. Et trinn i maskinkontekst kan ikke finne en vilkårlig brukers private profil bare fordi visningsnavnet er det samme. Tilkoblinger for alle brukere, brukertilkoblinger og deres tilstandskataloger er separate objekter med separate navn.

Rekkefølgen betyr mer enn den ser ut til i en klargjøringspakke, fordi to kommandoer kan kjøre tettere sammen enn det tar å opprette tilkoblingen. Pakk arbeidet etter konfigurasjonen som en godkjent klargjøringskommando med en deklarert kjørekontekst, og la klargjøringsmotoren sekvensere det i stedet for å sette inn en gjettet forsinkelse. En søvn som er lang nok på testmaskinvaren din, er en kappløpstilstand med en forsinkelse på. Registrer avhengigheten, ikke varigheten.

De dokumenterte Configuration Designer-feltene beskriver én VPN-innstilling og avdekker ikke all innebygd IPsec-kontroll. Hvis kravet er en administrert levering, har VPNv2-konfigurasjonstjenesteleverandøren en seksjon for kryptosett nettopp til dette formålet.

Utpek én eier av policyen

En senere oppdatering av administrasjonsprofilen kan gjenopprette tilkoblingen og erstatte det et skript brukte, og erstatningen vil se ut som en regresjon. Bestem om settet eies av profilen, av et skript eller av administrasjonskanalen, og sørg for at rutineoppdateringer følger samme vei som den første installasjonen.

To eiere er det samme som ingen når de to er uenige. Skriv eierens navn i profilens endringslogg. Den neste oppdateringen følger det den loggen sier.

Verifiser det forhandlede resultatet, ikke pakken

Les den lagrede profilen og omfanget dens, og etabler deretter en ny tilkobling og sammenlign de valgte forslagene ved gatewayen. Bekreft også oppførselen ved nøkkelnygenerering, fordi et innledende håndtrykk kan lykkes med et sett som en senere fase avviser.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tre akseptresultater er ikke samme hendelse: pakken ble installert, profilen finnes med den tiltenkte policyen, og partene forhandlet den. Hold dem atskilt, slik at et manglende felt aldri repareres ved å svekke autentiseringen eller ved å slå på en reserve som ingen valgte.

Relaterte artikler