Зашто уграђени Windows IKEv2 уопште нема поље за PSK

Документација приступника каже да се унапред дељени кључ уноси у клијент, а профил у Windows-у нема поље за њега. Та празнина није грешка коју треба заобићи уписивањем кључа у поље за лозинку. То је разлика између онога што протокол може и онога што нуди одређена имплементација.

Способност протокола није подршка клијента

Спецификација IKEv2 укључује аутентификацију дељеним кључем, па се приступник може легитимно конфигурисати за њу. Уграђени профил за даљински приступ у Windows-у документује уместо тога поставке са сертификатима и EAP-ом, а способност протокола не ствара поље, параметар ни вредност регистра коју клијент никада није имао.

Људи обично заврше на PowerShell референца за додавање VPN везе, а тамо је приказан L2tpPsk за поставку L2TP. Тај параметар припада L2TP и није општа IKEv2 тајна. Подешавања за избор алгоритма бирају параметре заштите, што је трећа, неповезана ствар. Улога усмеравања у Windows Server-у такође није исти објекат. Серверски интерфејс може имати контроле којих профил стоног клијента нема, а копирање серверског подешавања у профил радне станице не репродукује ту способност.

Изаберите између сертификата, EAP-а или L2TP-а

Ако оператер приступника прихвати аутентификацију сертификатом, то је обично најчишће одредиште: клијент представи сертификат, приступник га провери код поузданог издавача и у профилу не остаје дељена тајна коју би неко могао да копира. То захтева упис, поуздан ланац и конфигурацију приступника која сертификат повезује са одлуком о одобрењу.

EAP са корисничким подацима други је подржани пут на овом клијенту и премешта одлуку на даваоца идентитета. Он уводи и сопствене зависности, јер метода EAP, серверски сертификат и поверење клијента у тај сертификат морају сви да се поклопе. Прелазак на L2TP/IPsec само да би се добило познато поље мења стек протокола. То је прихватљиво када је подржан избор са документованим разлогом, а лош је исход када се догоди јер је неко тражио оквир у који би уписао кључ.

Проверите шта ће прихватити приступник

Питајте оператера које методе аутентификације услуга даљинског приступа нуди данас, а не које производ подржава уопште. Услуга конфигурисана за IKEv2 само са PSK-ом неће прихватити сертификат зато што га клијент преферира.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Читајте методу аутентификације профила и складиште сертификата заједно. Профил постављен на EAP без употребљивог сертификата иза себе пада на начин који изгледа као проблем сервера.

Ако је одговор да је доступан само PSK, искрене опције су одобрен клијент који га подржава или промена дизајна аутентификације приступника. Ниједно није локално заобилажење, а тврђење супротног ствара везу коју може да репродукује само особа која ју је конфигурисала.

Забележите одлуку и тајне

Запишите изабрани метод, сидро поверења, идентитет који му одговара и особу која је одобрила промену. Тај запис треба прегледу инцидента, а он и спречава следећег инжењера да поново открије исти слепи пут.

Држите тајне одвојено у белешкама: лозинка налога, приступна фраза приватног кључа и унапред дељени кључ приступника три су различите ствари, чак и када екран подешавања све их назива лозинком. Њихово мешање је начин на који кључ заврши у захтеву. Тестирајте добијени профил новом везом и једним захтевом апликације према приватном ресурсу. Успешан тунел без доступне услуге је делимичан резултат и профил не треба описивати као завршен док и ресурс не проради.