Vlastná politika IKEv2 v systéme Windows: používajte ju ako samostatný krok

Zabezpečené pripojenie a vlastná kryptografická sada sú dva výsledky. Zlaďte polia politiky, rozsah profilu a vlastníka, ktorý ich znova použije.

Zabezpečovací balík vytvorí pripojenie IKEv2 a výsledný profil vyjednáva niečo iné ako sada, ktorú ste zamýšľali. Balík urobil svoju prácu; len nikdy nemal pole pre prácu, ktorú ste predpokladali. Berte kryptografickú sadu ako samostatný a overiteľný zabezpečovací krok.

Prejdite päť bodov nižšie v poradí a výsledky prijatia držte oddelene.

Dva druhy politiky za podobnými názvami

Windows oddeľuje politiku, ktorá chráni výmenu kľúčov, od politiky, ktorá chráni prevádzku. Strana IKE sa nastavuje metódou šifrovania a metódou integrity. Strana údajov sa nastavuje konštantami šifry a transformácie overovania a tieto konštanty používajú vlastné názvy. Jediná značka AES skopírovaná do nesprávneho poľa vytvorí pripojenie, ktoré sa nadviaže podľa politiky, ktorú nikto neschválil.

Skupina výmeny kľúčov a dokonalé utajenie dopredu patria k rovnakému vyjednávaniu a musia byť pre bránu prijateľné. Ich nastavenie bez kontroly vzdialenej strany vedie k zlyhaniu v neskoršej fáze, než bola tá, ktorú ste upravovali, a preto tieto chyby vyzerajú ako problémy brány.

Zostavte úplnú politiku, nie dva názvy algoritmov

Zapíšte každé pole výslovne, vrátane tých, ktoré považujete za predvolené. Čiastočná politika použitá s príznakom vynútenia sa stane uloženou konfiguráciou a hodnoty, ktoré ste vynechali, sú tie, ktoré platforma v tom momente mala. Hodnoty s rovnakým prefixom nie sú medzi poľami zameniteľné a jeden zo známych názvov transformácií platí len ako transformácia overovania.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Berte ten blok ako ilustratívnu sadu, ktorú musia podporovať obe strany, nie ako odporúčanie. Prepínač vynútenia potlačí výzvu; neschvaľuje balík, ktorý ste nepreskúmali.

Najprv vytvorte, potom použite — v jednom rozsahu

Pripojenie musí existovať skôr, než možno nastaviť jeho politiku, a rozsah musí v každom kroku sedieť. Krok v kontexte počítača nenájde súkromný profil ľubovoľného používateľa len preto, že zobrazovaný názov je rovnaký. Pripojenia pre všetkých používateľov, používateľské pripojenia a ich adresáre stavu sú samostatné objekty so samostatnými názvami.

Poradie je dôležitejšie, než to v zabezpečovacom balíku vyzerá, pretože dva príkazy môžu bežať bližšie k sebe, než trvá vytvorenie pripojenia. Zabaľte prácu po konfigurácii ako schválený zabezpečovací príkaz s deklarovaným kontextom spustenia a nechajte zabezpečovací engine, aby ju zoradil, namiesto vkladania odhadnutého oneskorenia. Spánok, ktorý je na vašom testovacom hardvéri dosť dlhý, je pretekársky stav s pridaným oneskorením. Zaznamenajte závislosť, nie trvanie.

Dokumentované polia Configuration Designer opisujú jedno nastavenie VPN a neodhaľujú každú natívnu kontrolu IPsec. Ak je požiadavkou spravované doručenie, poskytovateľ konfiguračnej služby VPNv2 má sekciu kryptografickej sady presne na tento účel.

Určte jedného vlastníka politiky

Neskoršia aktualizácia profilu správy môže pripojenie znova vytvoriť a nahradiť to, čo použil skript, a nahradenie bude vyzerať ako regresia. Rozhodnite, či sadu vlastní profil, skript alebo kanál správy, a zabezpečte, aby rutinné aktualizácie išli tou istou cestou ako prvá inštalácia.

Dvaja vlastníci sú to isté ako žiadny, keď sa tí dvaja nezhodujú. Zapíšte meno vlastníka do záznamu zmien profilu. Ďalšia aktualizácia sa bude riadiť tým, čo tento záznam hovorí.

Overujte vyjednaný výsledok, nie balík

Prečítajte uložený profil a jeho rozsah, potom nadviažte nové pripojenie a porovnajte vybrané návrhy na bráne. Potvrďte aj správanie pri obnove kľúčov, pretože prvý handshake môže uspieť so sadou, ktorú neskoršia fáza odmietne.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tri výsledky prijatia nie sú tá istá udalosť: balík sa nainštaloval, profil existuje s plánovanou politikou a strany ho vyjednali. Držte ich oddelene, aby chýbajúce pole nebolo nikdy opravené oslabením overovania alebo zapnutím zálohy, ktorú nikto nezvolil.

Súvisiace články