Politikë IKEv2 e personalizuar në Windows: zbatojeni si hap më vete

Një lidhje e furnizuar dhe një grup kriptografik i personalizuar janë dy rezultate. Përputhni fushat e politikës, shtrirjen e profilit dhe pronarin që i aplikon përsëri.

Një paketë furnizimi krijon një lidhje IKEv2, dhe profili që rezulton negocion diçka tjetër nga grupi që kishit menduar. Paketa e bëri punën e vet; thjesht nuk kishte kurrë një fushë për punën që supozuat. Trajtojeni grupin kriptografik si një hap furnizimi të veçantë dhe të verifikueshëm.

Kaloni nëpër pesë pikat më poshtë me radhë dhe mbani rezultatet e pranimit të ndara.

Dy lloje politikash pas emrave të ngjashëm

Windows ndan politikën që mbron shkëmbimin e çelësave nga politika që mbron trafikun. Ana IKE konfigurohet me një metodë kriptimi dhe një metodë integriteti. Ana e të dhënave konfigurohet me konstante shifruesi dhe transformimi të vërtetimit, dhe ato konstante përdorin emrat e tyre. Një etiketë e vetme AES e kopjuar në fushën e gabuar prodhon një lidhje që vendoset sipas një politike që askush nuk e miratoi.

Grupi i shkëmbimit të çelësave dhe fshehtësia e përsosur përpara i përkasin të njëjtit negocim dhe duhet të jenë të pranueshme për portën. Vendosja e tyre pa kontrolluar anën e largët prodhon një dështim në një fazë më të vonë se ajo që po redaktonit, dhe për këtë arsye këto gabime duken si probleme të portës.

Ndërtoni një politikë të plotë, jo dy emra algoritmesh

Shkruani çdo fushë në mënyrë eksplicite, përfshirë ato që i konsideroni të paracaktuara. Një politikë e pjesshme e aplikuar me një flamur force bëhet konfigurimi i ruajtur, dhe vlerat që keni lënë jashtë janë ato që platforma kishte në atë moment. Vlerat që fillojnë me të njëjtin parashtesë nuk janë të këmbyeshme midis fushave, dhe një nga emrat e njohur të transformimit është i vlefshëm vetëm si transformim vërtetimi.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Trajtojeni atë bllok si një grup ilustrues që të dy palët duhet të mbështesin, jo si një rekomandim. Ndërprerësi i forcës shtyp një kërkesë; nuk miraton një paketë që nuk e keni shqyrtuar.

Së pari krijoni, pastaj aplikoni — në një shtrirje të vetme

Lidhja duhet të ekzistojë përpara se politika e saj të mund të vendoset, dhe shtrirja duhet të përputhet në çdo hap. Një hap në kontekstin e makinës nuk mund të gjejë profilin privat të një përdoruesi arbitrar vetëm sepse emri i shfaqur është i njëjtë. Lidhjet për të gjithë përdoruesit, lidhjet e përdoruesit dhe drejtoritë e tyre të gjendjes janë objekte të ndara me emra të ndarë.

Rendi ka më shumë rëndësi sesa duket në një paketë furnizimi, sepse dy komanda mund të ekzekutohen më afër njëra-tjetrës sesa kohëzgjatja e krijimit të lidhjes. Paketojeni punën pas konfigurimit si një komandë furnizimi të miratuar me një kontekst ekzekutimi të deklaruar, dhe lërini motorit të furnizimit të rendisë atë në vend që të futni një vonesë të hamendësuar. Një gjumë mjaft i gjatë në harduerin tuaj të provës është një gjendje garuese me një vonesë të bashkangjitur. Regjistroni varësinë, jo kohëzgjatjen.

Fushat e dokumentuara të Configuration Designer përshkruajnë një cilësim të vetëm VPN dhe nuk ekspozojnë çdo kontroll nativ të IPsec. Nëse kërkesa është një dërgim i menaxhuar, ofruesi i shërbimit të konfigurimit VPNv2 ka një seksion të grupit kriptografik pikërisht për këtë qëllim.

Caktoni një pronar të vetëm të politikës

Një përditësim i mëvonshëm i profilit të menaxhimit mund të rikrijojë lidhjen dhe të zëvendësojë çfarëdo që aplikoi një skript, dhe zëvendësimi do të duket si një regres. Vendosni nëse grupi zotërohet nga profili, nga një skript apo nga kanali i menaxhimit, dhe bëni që përditësimet rutinë të ndjekin të njëjtën rrugë si instalimi i parë.

Dy pronarë janë njësoj si asnjë kur të dy nuk pajtohen. Shkruani emrin e pronarit në regjistrin e ndryshimeve të profilit. Përditësimi i ardhshëm do të ndjekë atë që thotë ai regjistër.

Verifikoni rezultatin e negociuar, jo paketën

Lexoni profilin e ruajtur dhe shtrirjen e tij, pastaj vendosni një lidhje të re dhe krahasoni propozimet e zgjedhura në portë. Konfirmoni gjithashtu sjelljen e rinovimit të çelësave, sepse një shtrëngim duarsh fillestar mund të ketë sukses me një grup që një fazë e mëvonshme e refuzon.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Tre rezultate pranimi nuk janë i njëjti ngjarje: paketa u instalua, profili ekziston me politikën e synuar, dhe palët e negociuan atë. Mbani të ndara, në mënyrë që një fushë që mungon të mos rregullohet kurrë duke dobësuar vërtetimin ose duke aktivizuar një alternativë që askush nuk e zgjodhi.

Artikuj të ngjashëm