Прилагођена IKEv2 политика у Windows-у: примените је као посебан корак

Обезбеђена веза и прилагођени криптографски скуп су два одвојена резултата. Ускладите поља политике, обим профила и власника који их поново примењује.

Пакет за обезбеђивање прави IKEv2 везу, а добијени профил преговара нешто друго од скупа који сте наменили. Пакет је обавио свој посао; једноставно никада није имао поље за посао који сте претпоставили. Третирајте криптографски скуп као посебан и проверљив корак обезбеђивања.

Прођите кроз пет тачака испод по реду и држите резултате прихватања одвојено.

Две врсте политике иза сличних имена

Windows раздваја политику која штити размену кључева од политике која штити саобраћај. Страна IKE се конфигурише методом шифровања и методом интегритета. Страна података се конфигурише константама шифре и константама трансформације аутентификације, а те константе користе сопствена имена. Једна AES ознака копирана у погрешно поље ствара везу која се успоставља по политици коју нико није одобрио.

Група за размену кључева и савршена унапред усмерена тајност припадају истом преговарању и морају бити прихватљиве за мрежни пролаз. Њихово подешавање без провере удаљене стране даје отказ у каснијој фази од оне коју сте уређивали, и зато ове грешке изгледају као проблеми мрежног пролаза.

Саставите потпуну политику, а не два имена алгоритма

Упишите свако поље изричито, укључујући и она која сматрате подразумеваним. Делимична политика примењена са заставицом присиле постаје сачувана конфигурација, а вредности које сте изоставили су оне које је платформа имала у том тренутку. Вредности које почињу истим префиксом нису заменљиве између поља, и једно од познатих имена трансформације важи само као трансформација аутентификације.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Тај блок третирајте као илустративни скуп који обе стране морају да подрже, а не као препоруку. Прекидач присиле потискује упит; он не одобрава пакет који нисте прегледали.

Прво направите, затим примените — у једном обиму

Веза мора да постоји пре него што се њена политика може поставити, а обим мора да се поклапа у сваком кораку. Корак у контексту машине не може да нађе приватни профил произвољног корисника само зато што је приказано име исто. Везе за све кориснике, корисничке везе и њихови директоријуми стања су одвојени објекти са одвојеним именима.

Редослед је важнији него што изгледа у пакету за обезбеђивање, јер две команде могу да се изврше ближе једна другој него што је потребно за стварање везе. Спакујте рад након конфигурације као одобрену команду за обезбеђивање са декларисаним контекстом извршавања и допустите машини за обезбеђивање да је поређа, уместо да убаците претпостављено кашњење. Сан који је довољно дуг на вашем тест хардверу је трка са додатим кашњењем. Забележите зависност, а не трајање.

Документована поља Configuration Designer описују једну VPN поставку и не откривају сваку изворну IPsec контролу. Ако је захтев управљана испорука, добављач VPNv2 конфигурационе услуге има одељак криптографског скупа управо за ову сврху.

Одредите једног власника политике

Касније ажурирање профила управљања може поново да створи везу и замени оно што је скрипта применила, а замена ће изгледати као регресија. Одлучите да ли скуп припада профилу, скрипти или каналу управљања, и учините да редовна ажурирања иду истим путем као прва инсталација.

Два власника су исто што и ниједан када се њих двојица не слажу. Упишите име власника у запис промена профила. Следеће ажурирање ће следити оно што тај запис каже.

Проверите преговарани резултат, а не пакет

Прочитајте сачувани профил и његов обим, затим успоставите нову везу и упоредите изабране предлоге на мрежном пролазу. Потврдите и понашање при обнови кључева, јер почетно руковање може да успе са скупом који каснија фаза одбија.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Три резултата прихватања нису исти догађај: пакет је инсталиран, профил постоји са предвиђеном политиком, и стране су се о њој договориле. Држите их одвојено, да поље које недостаје никада не буде поправљено слабљењем аутентификације или укључивањем резервне опције коју нико није изабрао.

Повезани чланци