Prečo natívny Windows IKEv2 vôbec nemá pole PSK

Dokumentácia brány uvádza, že predbežne zdieľaný kľúč sa zadáva do klienta, ale profil vo Windows naň nemá pole. Táto medzera nie je chyba, ktorú by sa dalo obísť napísaním kľúča do poľa pre heslo. Je to rozdiel medzi tým, čo protokol dokáže, a tým, čo ponúka konkrétna implementácia.

Schopnosť protokolu nie je podpora klienta

Špecifikácia IKEv2 zahŕňa autentifikáciu zdieľaným kľúčom, takže bránu možno na ňu legitímne nakonfigurovať. Natívny profil vzdialeného prístupu vo Windows namiesto toho dokumentuje usporiadania s certifikátmi a EAP a schopnosť protokolu nevytvára pole, parameter ani hodnotu registra, ktorú klient nikdy nemal.

Ľudia zvyčajne skončia na referencia PowerShellu na pridanie pripojenia VPN, kde je pre usporiadanie L2TP uvedený L2tpPsk. Tento parameter patrí k L2TP a nie je všeobecným tajomstvom IKEv2. Nastavenia výberu algoritmov volia parametre ochrany, čo je tretia, nesúvisiaca vec. Rola smerovania v Windows Serveri tiež nie je ten istý objekt. Serverové rozhranie môže mať ovládacie prvky, ktoré profil desktopového klienta nemá, a skopírovanie serverového nastavenia do profilu pracovnej stanice túto schopnosť nereprodukuje.

Vyberte medzi certifikátom, EAP alebo L2TP

Ak operátor brány prijme autentifikáciu certifikátom, býva to zvyčajne najčistejší cieľ: klient predloží certifikát, brána ho overí u dôveryhodného vydavateľa a v profile nezostane zdieľané tajomstvo, ktoré by niekto mohol skopírovať. Vyžaduje to registráciu, dôveryhodnú reťaz a konfiguráciu brány, ktorá certifikát spája s rozhodnutím o autorizácii.

EAP s používateľským poverením je druhá podporovaná cesta v tomto klientovi a presúva rozhodnutie na poskytovateľa identity. Prináša aj vlastné závislosti, pretože metóda EAP, certifikát servera a dôvera klienta v tento certifikát sa musia zladiť. Prechod na L2TP/IPsec len kvôli známemu poľu mení sadu protokolov. To je prijateľné, keď ide o podporovanú voľbu s zdokumentovaným dôvodom, a je to zlý výsledok, keď sa to stane preto, že niekto hľadal políčko, do ktorého by napísal kľúč.

Overte, čo brána prijme

Opýtajte sa operátora, ktoré metódy autentifikácie služba vzdialeného prístupu dnes ponúka, nie ktoré produkt podporuje všeobecne. Služba nakonfigurovaná na IKEv2 iba s PSK neprijme certifikát len preto, že mu klient dáva prednosť.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Čítajte metódu autentifikácie profilu a úložisko certifikátov spoločne. Profil nastavený na EAP bez použiteľného certifikátu za ním zlyháva spôsobom, ktorý vyzerá ako problém servera.

Ak je odpoveďou, že je dostupný len PSK, poctivé možnosti sú schválený klient, ktorý ho podporuje, alebo zmena návrhu autentifikácie brány. Ani jedno nie je miestne obchádzanie a predstieranie opaku vytvára pripojenie, ktoré dokáže zopakovať len ten, kto ho nastavil.

Zaznamenajte rozhodnutie a tajomstvá

Zapíšte zvolenú metódu, kotvu dôvery, identitu, ktorá k nej patrí, a osobu, ktorá zmenu schválila. Tento záznam je to, čo potrebuje prehľad incidentu, a tiež to bráni ďalšiemu inžinierovi znovu objaviť tú istú slepú uličku.

Uchovávajte tajomstvá v poznámkach oddelene: heslo účtu, prístupová fráza súkromného kľúča a predbežne zdieľaný kľúč brány sú tri rôzne veci, aj keď obrazovka nastavení všetky označuje ako heslo. Ich zámena je spôsob, akým sa kľúč dostane do tiketu. Otestujte výsledný profil novým pripojením a jednou požiadavkou aplikácie na súkromný zdroj. Úspešný tunel bez dostupnej služby je čiastočný výsledok a profil by sa nemal označiť za hotový, kým nefunguje aj zdroj.