Pravilnik IKEv2 po meri v sistemu Windows: uporabite ga kot ločen korak

Zagotovljena povezava in kriptografski nabor po meri sta dva izida. Uskladite polja pravilnika, obseg profila in lastnika, ki jih uporabi znova.

Paket za zagotavljanje ustvari povezavo IKEv2 in nastali profil se pogaja o nečem drugem kot o naboru, ki ste ga nameravali. Paket je opravil svoje delo; le nikoli ni imel polja za delo, ki ste ga predpostavili. Obravnavajte kriptografski nabor kot ločen in preverljiv korak zagotavljanja.

Pojdite skozi pet točk spodaj po vrsti in rezultate sprejema hranite ločeno.

Dve vrsti pravilnika za podobnimi imeni

Windows ločuje pravilnik, ki varuje izmenjavo ključev, od pravilnika, ki varuje promet. Stran IKE se nastavi z metodo šifriranja in metodo celovitosti. Stran podatkov se nastavi s konstantami šifre in transformacije preverjanja pristnosti, te konstante pa uporabljajo svoja imena. Ena sama oznaka AES, kopirana v napačno polje, ustvari povezavo, ki se vzpostavi po pravilniku, ki ga ni nihče odobril.

Skupina za izmenjavo ključev in popolna tajnost naprej spadata k istim pogajanjem in morata biti sprejemljivi za prehod. Njuna nastavitev brez preverjanja oddaljenega konca povzroči napako v poznejši fazi od tiste, ki ste jo urejali, zato so te napake videti kot težave prehoda.

Zgradite popoln pravilnik, ne dveh imen algoritmov

Zapišite vsako polje izrecno, tudi tista, ki jih imate za privzete. Delni pravilnik, uporabljen z zastavico prisile, postane shranjena konfiguracija, izpuščene vrednosti pa so tiste, ki jih je imela platforma v tistem trenutku. Vrednosti z isto predpono niso med polji zamenljive in eno od znanih imen transformacij velja le kot transformacija preverjanja pristnosti.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Ta blok obravnavajte kot ponazoritveni nabor, ki ga morata podpirati oba partnerja, ne kot priporočilo. Stikalo za prisilo zaduši poziv; ne odobri paketa, ki ga niste pregledali.

Najprej ustvarite, nato uporabite — v enem obsegu

Povezava mora obstajati, preden je mogoče nastaviti njen pravilnik, in obseg se mora ujemati v vsakem koraku. Korak v kontekstu stroja ne more najti zasebnega profila poljubnega uporabnika samo zato, ker je prikazano ime enako. Povezave za vse uporabnike, uporabniške povezave in njihove mape stanja so ločeni objekti z ločenimi imeni.

Vrstni red je pomembnejši, kot se zdi v paketu za zagotavljanje, ker se lahko dva ukaza izvedeta bližje drug drugemu, kot traja ustvarjanje povezave. Delo po konfiguraciji zapakirajte kot odobren ukaz za zagotavljanje z razglašenim kontekstom izvajanja in pustite pogonskemu mehanizmu, da ga razvrsti, namesto da bi vstavili ugibano zakasnitev. Spanje, ki je na vaši testni strojni opremi dovolj dolgo, je tekma s priloženo zakasnitvijo. Zabeležite odvisnost, ne trajanja.

Dokumentirana polja Configuration Designer opisujejo eno nastavitev VPN in ne razkrijejo vsakega izvornega nadzora IPsec. Če je zahteva upravljana dostava, ima ponudnik konfiguracijske storitve VPNv2 razdelek kriptografskega nabora prav v ta namen.

Določite enega lastnika pravilnika

Poznejša posodobitev profila upravljanja lahko povezavo znova ustvari in nadomesti, kar je uporabil skript, zamenjava pa bo videti kot regresija. Odločite, ali nabor pripada profilu, skriptu ali kanalu upravljanja, in poskrbite, da bodo rutinske posodobitve sledile isti poti kot prva namestitev.

Dva lastnika sta enako kot noben, ko se ta dva ne strinjata. Zapišite ime lastnika v zapis sprememb profila. Naslednja posodobitev bo sledila temu, kar piše v tem zapisu.

Preverite dogovorjeni rezultat, ne paketa

Preberite shranjeni profil in njegov obseg, nato vzpostavite novo povezavo in primerjajte izbrane predloge na prehodu. Potrdite tudi vedenje pri obnavljanju ključev, ker lahko začetno rokovanje uspe z naborom, ki ga poznejša faza zavrne.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Trije rezultati sprejema niso isti dogodek: paket je bil nameščen, profil obstaja z načrtovanim pravilnikom in strani so se o njem dogovorile. Hranite jih ločeno, da se manjkajoče polje nikoli ne popravi z oslabitvijo preverjanja pristnosti ali z omogočanjem nadomestne možnosti, ki je ni nihče izbral.

Sorodni članki