Zakaj vgrajeni Windows IKEv2 sploh nima polja PSK

Dokumentacija prehodne postaje pravi, da se vnaprej skupni ključ vnese v odjemalca, a profil v Windowsu zanj nima polja. Ta vrzel ni napaka, ki bi se ji izognili tako, da ključ vpišete v polje za geslo. To je razlika med tem, kar zmore protokol, in tem, kar ponuja določena izvedba.

Zmožnost protokola ni podpora odjemalca

Specifikacija IKEv2 vključuje preverjanje pristnosti s skupnim ključem, zato je prehodno postajo mogoče zakonito nastaviti zanj. Vgrajeni profil za oddaljeni dostop v Windowsu namesto tega dokumentira ureditve s potrdili in EAP, zmožnost protokola pa ne ustvari polja, parametra ali vrednosti registra, ki jih odjemalec nikoli ni imel.

Ljudje običajno pristanejo na referenca PowerShell za dodajanje povezave VPN, kjer je za ureditev L2TP prikazan L2tpPsk. Ta parameter spada k L2TP in ni splošna skrivnost IKEv2. Nastavitve za izbiro algoritmov izbirajo parametre zaščite, kar je tretja, nepovezana stvar. Tudi vloga usmerjanja v Windows Serveru ni isti objekt. Vmesnik strežnika ima lahko konfiguracijske kontrolnike, ki jih profil namiznega odjemalca nima, in kopiranje strežniške nastavitve v profil delovne postaje te zmožnosti ne povzroči znova.

Izberite med potrdilom, EAP ali L2TP

Če operater prehodne postaje sprejme preverjanje pristnosti s potrdilom, je to običajno najčistejši cilj: odjemalec predloži potrdilo, prehodna postaja ga preveri pri zaupanja vrednem izdajatelju in v profilu ne ostane skupna skrivnost, ki bi jo kdo lahko kopiral. Za to so potrebni vpis, zaupanja vredna veriga in konfiguracija prehodne postaje, ki potrdilo poveže z odločitvijo o pooblastitvi.

EAP s poverilnico uporabnika je druga podprta pot v tem odjemalcu in odločitev prenese na ponudnika identitete. Prinaša tudi lastne odvisnosti, saj se morajo metoda EAP, strežniško potrdilo in zaupanje odjemalca v to potrdilo ujemati. Prehod na L2TP/IPsec samo zaradi znanega polja spremeni sklad protokolov. To je sprejemljivo, ko gre za podprto izbiro z dokumentiranim razlogom, in slab izid, ko se zgodi zato, ker je nekdo iskal polje za vnos ključa.

Preverite, kaj bo sprejela prehodna postaja

Operaterja vprašajte, katere metode preverjanja pristnosti storitev oddaljenega dostopa ponuja danes, ne katerih izdelek podpira na splošno. Storitev, nastavljena za IKEv2 samo s PSK, ne bo sprejela potrdila zato, ker mu odjemalec daje prednost.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Metodo preverjanja pristnosti profila in shrambo potrdil berite skupaj. Profil, nastavljen na EAP brez uporabnega potrdila za njim, spodleti tako, da je videti kot težava strežnika.

Če je odgovor, da je na voljo samo PSK, so poštene možnosti odobren odjemalec, ki ga podpira, ali sprememba zasnove preverjanja pristnosti prehodne postaje. Nobena ni lokalni obhod, in pretvarjanje nasprotnega ustvari povezavo, ki jo lahko ponovi le tisti, ki jo je nastavil.

Zapišite odločitev in skrivnosti

Zapišite izbrano metodo, sidro zaupanja, identiteto, ki ji ustreza, in osebo, ki je spremembo odobrila. Ta zapis je tisto, kar potrebuje pregled incidenta, in tudi tisto, kar prepreči naslednjemu inženirju, da bi ponovno odkril isto slepo ulico.

Skrivnosti v svojih zapiskih hranite ločeno: geslo računa, geslo zasebnega ključa in vnaprej skupni ključ prehodne postaje so tri različne stvari, tudi ko zaslon nastavitev vse imenuje geslo. Njihova zamenjava je pot, po kateri ključ pride v zahtevek. Preizkusite dobljeni profil z novo povezavo in eno zahtevo aplikacije do zasebnega vira. Uspešen tunel brez dosegljive storitve je delni izid, in profila ne smete opisati kot dokončanega, dokler ne deluje tudi vir.