Politică IKEv2 personalizată în Windows: aplicați-o ca pas separat

O conexiune provizionată și un set criptografic personalizat sunt două rezultate. Aliniați câmpurile politicii, domeniul profilului și proprietarul care le aplică din nou.

Un pachet de provizionare creează o conexiune IKEv2, iar profilul rezultat negociază altceva decât setul pe care îl aveați în vedere. Pachetul și-a făcut treaba; pur și simplu nu a avut niciodată un câmp pentru sarcina pe care ați presupus-o. Tratați setul criptografic ca un pas de provizionare separat și verificabil.

Parcurgeți cele cinci puncte de mai jos în ordine și păstrați rezultatele de acceptare separate.

Două tipuri de politică în spatele unor nume similare

Windows separă politica ce protejează schimbul de chei de politica ce protejează traficul. Partea IKE este configurată printr-o metodă de criptare și o metodă de integritate. Partea de date este configurată prin constante de cifru și de transformare a autentificării, iar aceste constante își folosesc propriile nume. O singură etichetă AES copiată în câmpul greșit produce o conexiune care se stabilește sub o politică pe care nimeni nu a aprobat-o.

Grupul de schimb de chei și secretul perfect înainte aparțin aceleiași negocieri și trebuie să fie acceptabile pentru gateway. Setarea lor fără verificarea capătului îndepărtat produce un eșec într-o etapă ulterioară celei pe care o editai, și de aceea aceste greșeli arată ca probleme ale gateway-ului.

Construiți o politică completă, nu două nume de algoritm

Scrieți fiecare câmp explicit, inclusiv pe cele pe care le considerați implicite. O politică parțială aplicată cu un steag de forțare devine configurația salvată, iar valorile pe care le-ați omis sunt cele pe care platforma le avea în acel moment. Valorile care încep cu același prefix nu sunt interschimbabile între câmpuri, iar unul dintre numele de transformare cunoscute este valid doar ca transformare de autentificare.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Tratați acel bloc ca pe un set ilustrativ pe care ambii parteneri trebuie să îl accepte, nu ca pe o recomandare. Comutatorul de forțare suprimă o solicitare; nu aprobă un pachet pe care nu l-ați examinat.

Creați mai întâi, apoi aplicați — într-un singur domeniu

Conexiunea trebuie să existe înainte de a i se putea seta politica, iar domeniul trebuie să corespundă la fiecare pas. Un pas în contextul mașinii nu poate găsi profilul privat al unui utilizator oarecare doar pentru că numele afișat este același. Conexiunile pentru toți utilizatorii, conexiunile de utilizator și directoarele lor de stare sunt obiecte separate cu nume separate.

Ordinea contează mai mult decât pare într-un pachet de provizionare, pentru că două comenzi pot rula mai aproape una de cealaltă decât durează crearea conexiunii. Împachetați munca de după configurare ca o comandă de provizionare aprobată, cu un context de execuție declarat, și lăsați motorul de provizionare să o ordoneze în loc să inserați o întârziere ghicită. O pauză suficient de lungă pe hardware-ul de test este o condiție de cursă cu o întârziere atașată. Înregistrați dependența, nu durata.

Câmpurile documentate ale Configuration Designer descriu o singură setare VPN și nu expun fiecare control IPsec nativ. Dacă cerința este o livrare gestionată, furnizorul serviciului de configurare VPNv2 are o secțiune de set criptografic exact în acest scop.

Numiți un singur proprietar al politicii

O actualizare ulterioară a profilului de administrare poate recrea conexiunea și poate înlocui ce a aplicat un script, iar înlocuirea va arăta ca o regresie. Decideți dacă setul aparține profilului, unui script sau canalului de administrare, și faceți ca actualizările de rutină să urmeze aceeași cale ca prima instalare.

Doi proprietari sunt același lucru cu niciunul când cei doi nu sunt de acord. Scrieți numele proprietarului în registrul de modificări al profilului. Următoarea actualizare va urma ce spune acel registru.

Verificați rezultatul negociat, nu pachetul

Citiți profilul salvat și domeniul lui, apoi stabiliți o conexiune nouă și comparați propunerile selectate la gateway. Confirmați și comportamentul la reînnoirea cheilor, pentru că un handshake inițial poate reuși cu un set pe care o fază ulterioară îl refuză.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Trei rezultate de acceptare nu sunt același eveniment: pachetul a fost instalat, profilul există cu politica dorită, iar părțile l-au negociat. Țineți-le separate, ca un câmp lipsă să nu fie niciodată reparat slăbind autentificarea sau activând o soluție de rezervă pe care nimeni nu a ales-o.

Articole similare