Windows IKEv2 eigendefinert policy: bruk han som eit eige steg

Ei klargjord tilkopling og eit eigendefinert kryptosett er to resultat. Få policyfelta, profilomfanget og eigaren som brukar dei på nytt til å stemme.

Ein klargjeringspakke opprettar ei IKEv2-tilkopling, og profilen som kjem ut forhandlar om noko anna enn settet du hadde tenkt. Pakken gjorde jobben sin; han hadde berre aldri eit felt for jobben du antok. Handsama kryptosettet som eit eige, verifiserbart klargjeringssteg.

Gå gjennom dei fem punkta nedanfor i rekkefølgje, og hald akseptresultata åtskilde.

To slag policy bak like namn

Windows skil policyen som vernar nøkkelutvekslinga frå policyen som vernar trafikken. IKE-sida blir konfigurert med ein krypteringsmetode og ein integritetsmetode. Datasida blir konfigurert med chiffer- og autentiseringstransformkonstantar, og desse konstantane brukar eigne namn. Éin AES-etikett kopiert inn i feil felt gir ei tilkopling som blir sett opp under ein policy ingen har godkjent.

Nøkkelutvekslingsgruppe og perfekt forward secrecy høyrer til same forhandling og må vere akseptable for gatewayen. Å setje dei utan å kontrollere den andre enden gir ein feil på eit seinare steg enn det du redigerte, og difor ser desse feila ut som gateway-problem.

Bygg ein fullstendig policy, ikkje to algoritmenamn

Skriv kvart felt eksplisitt, òg dei du trur er standardverdiar. Ein delvis policy brukt med eit tving-flagg blir den lagra konfigurasjonen, og verdiane du utelét er det plattforma hadde i det augneblinken. Verdiar som byrjar med same prefiks er ikkje utskiftbare mellom felt, og eitt av dei kjende transformnamna er berre gyldig som autentiseringstransform.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Handsama den blokka som eit illustrerande sett begge motpartane må støtte, ikkje som ei tilråding. Tving-brytaren undertrykkjer ein førespurnad; han godkjenner ikkje ein pakke du ikkje har gått gjennom.

Opprett fyrst, bruk deretter — i eitt omfang

Tilkoplinga må finnast før policyen kan setjast, og omfanget må stemme i kvart steg. Eit steg i maskinkontekst kan ikkje finne ein vilkårleg brukar sin private profil berre fordi visingsnamnet er det same. Tilkoplingar for alle brukarar, brukartilkoplingar og tilstandskatalogane deira er separate objekt med separate namn.

Rekkjefølgja tyder meir enn ho ser ut til i ein klargjeringspakke, fordi to kommandoar kan køyre tettare saman enn det tek å opprette tilkoplinga. Pakk arbeidet etter konfigurasjonen som ein godkjend klargjeringskommando med ein deklarert køyringskontekst, og lat klargjeringsmotoren sekvensere det i staden for å setje inn ei gjetta forseinking. Ein søvn som er lang nok på testmaskinvaren din, er ein kappløpstilstand med ei forseinking på. Registrer avhengnaden, ikkje varigskapen.

Dei dokumenterte Configuration Designer-felta skildrar éin VPN-innstilling og avdekkjer ikkje all innebygd IPsec-kontroll. Viss kravet er ei administrert levering, har VPNv2-konfigurasjonstenesteleverandøren ein seksjon for kryptosett nettopp til dette føremålet.

Pek ut éin eigar av policyen

Ei seinare oppdatering av administrasjonsprofilen kan gjenopprette tilkoplinga og erstatte det eit skript brukte, og erstatninga vil sjå ut som ein regresjon. Avgjer om settet blir eigd av profilen, av eit skript eller av administrasjonskanalen, og sørg for at rutineoppdateringar følgjer same veg som den fyrste installasjonen.

To eigarar er det same som ingen når dei to er usamde. Skriv namnet til eigaren i endringsloggen til profilen. Den neste oppdateringa følgjer det den loggen seier.

Verifiser det forhandla resultatet, ikkje pakken

Les den lagra profilen og omfanget hans, og etabler deretter ei ny tilkopling og samanlikn dei valde forslaga ved gatewayen. Stadfest òg åtferda ved nøkkelnygenerering, fordi eit innleiande handtrykk kan lukkast med eit sett som ein seinare fase avviser.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tre akseptresultat er ikkje same hendinga: pakken vart installert, profilen finst med den tiltenkte policyen, og partane forhandla han. Hald dei åtskilde, slik at eit manglande felt aldri blir reparert ved å svekkje autentiseringa eller ved å slå på ein reserve ingen valde.

Relaterte artiklar