Waarom systeemeigen Windows IKEv2 helemaal geen PSK-veld heeft

De gatewaydocumentatie zegt dat de vooraf gedeelde sleutel in de client wordt ingevoerd, maar het Windows-profiel heeft er geen veld voor. Die leemte is geen bug die je omzeilt door de sleutel in het wachtwoordvak te typen. Het is het verschil tussen wat een protocol kan en wat een specifieke implementatie biedt.

Protocolvermogen is geen clientondersteuning

De IKEv2-specificatie bevat authenticatie met een gedeelde sleutel, dus een gateway kan daar legitiem voor worden geconfigureerd. Het systeemeigen Windows-profiel voor externe toegang documenteert in plaats daarvan certificaat- en EAP-regelingen, en protocolvermogen maakt geen veld, parameter of registerwaarde aan die de client nooit heeft gehad.

Mensen belanden meestal op PowerShell-referentie voor het toevoegen van een VPN-verbinding, en daar wordt L2tpPsk voor de L2TP-regeling getoond. Die parameter hoort bij L2TP en is geen algemeen IKEv2-geheim. Instellingen voor algoritmekeuze kiezen beveiligingsparameters, wat een derde, ongerelateerd iets is. De routeringsrol van Windows Server is ook niet hetzelfde object. Een serverinterface kan configuratiebesturingen hebben die een desktopclientprofiel niet heeft, en een serverinstelling naar een werkstationprofiel kopiëren reproduceert het vermogen niet.

Kies tussen certificaat, EAP of L2TP

Als de gatewaybeheerder certificaatauthenticatie accepteert, is dat meestal de schoonste bestemming: de client toont een certificaat, de gateway valideert het bij een vertrouwde uitgever, en er blijft geen gedeeld geheim in een profiel liggen dat iemand kan kopiëren. Het vereist inschrijving, een vertrouwde keten en een gatewayconfiguratie die het certificaat aan een autorisatiebeslissing koppelt.

EAP met een gebruikersreferentie is de andere ondersteunde route op deze client, en die verplaatst de beslissing naar een identiteitsprovider. Het brengt ook eigen afhankelijkheden mee, omdat de EAP-methode, het servercertificaat en het vertrouwen van de client in dat certificaat allemaal moeten kloppen. Overstappen naar L2TP/IPsec alleen om een vertrouwd veld te krijgen verandert de protocolstack. Dat is aanvaardbaar wanneer het een ondersteunde keuze met een gedocumenteerde reden is, en het is een slechte uitkomst wanneer het gebeurt omdat iemand een vakje zocht om een sleutel in te typen.

Controleer wat de gateway accepteert

Vraag de beheerder welke authenticatiemethoden de externe toegangsdienst vandaag biedt, niet welke het product in het algemeen ondersteunt. Een dienst die is geconfigureerd voor IKEv2 met alleen PSK accepteert geen certificaat omdat de client er een verkiest.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Lees de authenticatiemethode van het profiel en het certificaatarchief samen. Een profiel dat op EAP staat zonder bruikbaar certificaat erachter mislukt op een manier die op een serverprobleem lijkt.

Als het antwoord is dat alleen PSK beschikbaar is, zijn de eerlijke opties een goedgekeurde client die het ondersteunt of een wijziging in het authenticatieontwerp van de gateway. Geen van beide is een lokale omweg, en doen alsof het tegendeel waar is levert een verbinding op die alleen degene die hem configureerde kan reproduceren.

Leg de beslissing en de geheimen vast

Noteer de gekozen methode, het vertrouwensanker, de identiteit die erbij hoort en de persoon die de wijziging goedkeurde. Dat vastleggen is wat een incidentonderzoek nodig heeft, en het is ook wat de volgende engineer ervan weerhoudt dezelfde doodlopende weg opnieuw te ontdekken.

Houd de geheimen gescheiden in je notities: een accountwachtwoord, een wachtwoordzin voor een privésleutel en een vooraf gedeelde gatewaysleutel zijn drie verschillende dingen, zelfs wanneer een instellingenscherm ze allemaal wachtwoord noemt. Ze verwarren is hoe een sleutel in een ticket belandt. Test het resulterende profiel met een nieuwe verbinding en één applicatieverzoek naar een privébron. Een geslaagde tunnel zonder bereikbare dienst is een gedeeltelijk resultaat, en het profiel moet niet als afgerond worden beschreven voordat de bron ook werkt.