Pse Windows IKEv2 vendas nuk ka fare fushë PSK

Dokumentacioni i portës thotë se çelësi i përbashkët paraprak futet te klienti, por profili i Windows nuk ka fushë për të. Ky boshllëk nuk është një gabim që shmanget duke shkruar çelësin në kutinë e fjalëkalimit. Është dallimi midis asaj që mund të bëjë një protokoll dhe asaj që ofron një zbatim i caktuar.

Aftësia e protokollit nuk është mbështetje e klientit

Specifikimi IKEv2 përfshin vërtetimin me çelës të përbashkët, ndaj porta mund të konfigurohet ligjërisht për atë. Profili vendas i aksesit në distancë i Windows dokumenton në vend të tij rregullime me certifikata dhe EAP, dhe aftësia e protokollit nuk krijon fushë, parametër ose vlerë regjistri që klienti nuk e ka pasur kurrë.

Njerëzit zakonisht përfundojnë te referenca e PowerShell për shtimin e një lidhjeje VPN, ku shfaqet L2tpPsk për rregullimin L2TP. Ai parametër i përket L2TP dhe nuk është sekret i përgjithshëm i IKEv2. Cilësimet e zgjedhjes së algoritmit zgjedhin parametra mbrojtjeje, që është një gjë e tretë, e palidhur. Edhe roli i rrugëzimit në Windows Server nuk është i njëjti objekt. Një ndërfaqe serveri mund të ketë kontrolle konfigurimi që një profil klienti desktop nuk i ka, dhe kopjimi i një cilësimi serveri në një profil stacioni pune nuk e riprodhon atë aftësi.

Zgjidhni midis certifikatës, EAP ose L2TP

Nëse operatori i portës pranon vërtetimin me certifikatë, zakonisht është destinacioni më i pastër: klienti paraqet një certifikatë, porta e vërteton atë te një emetues i besuar dhe asnjë sekret i përbashkët nuk mbetet në një profil që dikush ta kopjojë. Kjo kërkon regjistrim, një zinxhir të besuar dhe një konfigurim porte që e lidh certifikatën me një vendim autorizimi.

EAP me një kredencial përdoruesi është rruga tjetër e mbështetur në këtë klient, dhe e zhvendos vendimin te një ofrues identiteti. Sjell edhe varësitë e veta, sepse metoda EAP, certifikata e serverit dhe besimi i klientit në atë certifikatë duhet të përputhen të gjitha. Kalimi në L2TP/IPsec vetëm për të marrë një fushë të njohur ndryshon pirgun e protokollit. Kjo është e pranueshme kur është një zgjedhje e mbështetur me një arsye të dokumentuar, dhe është rezultat i keq kur ndodh sepse dikush kërkonte një kuti për të shkruar një çelës.

Kontrolloni çfarë do të pranojë porta

Pyetni operatorin cilat metoda vërtetimi ofron sot shërbimi i aksesit në distancë, jo cilat i mbështet produkti në përgjithësi. Një shërbim i konfiguruar për IKEv2 vetëm me PSK nuk do të pranojë një certifikatë sepse klienti preferon një të tillë.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Lexoni metodën e vërtetimit të profilit dhe depon e certifikatave bashkë. Një profil i vendosur në EAP pa një certifikatë të përdorshme pas tij dështon në një mënyrë që duket si problem serveri.

Nëse përgjigjja është se është i disponueshëm vetëm PSK, opsionet e ndershme janë një klient i miratuar që e mbështet ose një ndryshim në dizajnin e vërtetimit të portës. Asnjëra nuk është zgjidhje vendore, dhe të pretendosh të kundërtën prodhon një lidhje që vetëm personi që e konfiguroi mund ta riprodhojë.

Regjistroni vendimin dhe sekretet

Regjistroni metodën e zgjedhur, ankorën e besimit, identitetin që i përket dhe personin që miratoi ndryshimin. Ai regjistrim është ajo që i nevojitet një rishikimi incidenti, dhe është gjithashtu ajo që e ndalon inxhinierin e radhës të rizbulojë të njëjtën rrugë pa krye.

Mbajini sekretet të ndara në shënimet tuaja: një fjalëkalim llogarie, një frazë fjalëkalimi e një çelësi privat dhe një çelës i përbashkët paraprak i portës janë tre gjëra të ndryshme, edhe kur një ekran cilësimesh i quan të gjitha fjalëkalim. Ngatërrimi i tyre është mënyra se si një çelës përfundon në një tiketë. Testoni profilin që rezulton me një lidhje të re dhe një kërkesë aplikacioni drejt një burimi privat. Një tunel i suksesshëm pa një shërbim të arritshëm është rezultat i pjesshëm, dhe profili nuk duhet përshkruar si i përfunduar derisa të funksionojë edhe burimi.