Kwa nini Windows IKEv2 asilia haina sehemu ya PSK kabisa

Nyaraka za lango zinasema ufunguo ulioshirikiwa mapema huingizwa kwenye mteja, lakini wasifu wa Windows hauna sehemu yake. Pengo hili si hitilafu ya kuepukwa kwa kuandika ufunguo kwenye kisanduku cha nenosiri. Ni tofauti kati ya kile itifaki inaweza kufanya na kile utekelezaji fulani hutoa.

Uwezo wa itifaki si msaada wa mteja

Vipimo vya IKEv2 vinajumuisha uthibitishaji wa ufunguo ulioshirikiwa, kwa hivyo lango linaweza kusanidiwa kihalali kwa hilo. Wasifu asilia wa ufikiaji wa mbali wa Windows unabainisha badala yake mipango ya vyeti na EAP, na uwezo wa itifaki hautengenezi sehemu, kigezo au thamani ya rejista ambayo mteja hakuwahi kuwa nayo.

Watu kwa kawaida huishia kwenye marejeleo ya PowerShell ya kuongeza muunganisho wa VPN, na hapo L2tpPsk inaonyeshwa kwa mpango wa L2TP. Kigezo hicho ni cha L2TP na si siri ya jumla ya IKEv2. Mipangilio ya uchaguzi wa algoriti huchagua vigezo vya ulinzi, jambo ambalo ni la tatu na lisilohusiana. Jukumu la uelekezaji la Windows Server pia si kitu kimoja. Kiolesura cha seva kinaweza kuwa na vidhibiti vya usanidi ambavyo wasifu wa mteja wa kompyuta ya mezani hauna, na kunakili mpangilio wa seva kwenye wasifu wa kituo cha kazi hakuizalishi uwezo huo.

Chagua kati ya cheti, EAP au L2TP

Ikiwa mwendeshaji wa lango atakubali uthibitishaji wa cheti, kwa kawaida ndilo lengo safi zaidi: mteja huwasilisha cheti, lango hulithibitisha kwa mtoaji anayeaminika, na hakuna siri inayoshirikiwa inayobaki kwenye wasifu ili mtu ainakili. Hilo linahitaji usajili, mnyororo unaoaminika na usanidi wa lango unaounganisha cheti na uamuzi wa idhini.

EAP na kitambulisho cha mtumiaji ni njia nyingine inayoungwa mkono kwenye mteja huyu, na huhamisha uamuzi kwa mtoa utambulisho. Pia huleta utegemezi wake, kwa sababu mbinu ya EAP, cheti cha seva na imani ya mteja kwa cheti hicho vyote vinapaswa kuoana. Kuhamia L2TP/IPsec kwa ajili tu ya kupata sehemu inayojulikana hubadilisha mrundikano wa itifaki. Hilo linakubalika linapokuwa chaguo linaloungwa mkono lenye sababu iliyoandikwa, na ni matokeo mabaya linapotokea kwa sababu mtu alikuwa akitafuta kisanduku cha kuandika ufunguo.

Angalia kile lango litakachokubali

Muulize mwendeshaji ni mbinu gani za uthibitishaji ambazo huduma ya ufikiaji wa mbali inatoa leo, si zipi ambazo bidhaa inaunga mkono kwa ujumla. Huduma iliyosanidiwa kwa IKEv2 na PSK pekee haitakubali cheti kwa sababu mteja anapendelea kimoja.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Soma mbinu ya uthibitishaji ya wasifu na hifadhi ya vyeti pamoja. Wasifu uliowekwa kwa EAP bila cheti kinachoweza kutumika nyuma yake hushindwa kwa namna inayoonekana kama tatizo la seva.

Ikiwa jibu ni kwamba PSK pekee inapatikana, chaguo za uaminifu ni mteja aliyekubaliwa anayeunga mkono au mabadiliko katika muundo wa uthibitishaji wa lango. Hakuna hata moja ambayo ni suluhisho la ndani, na kujifanya kinyume chake hutoa muunganisho ambao ni mtu aliyesanidi pekee anayeweza kuizalisha tena.

Rekodi uamuzi na siri

Andika mbinu iliyochaguliwa, nanga ya imani, utambulisho unaolingana nayo na mtu aliyeidhinisha mabadiliko. Rekodi hiyo ndiyo inayohitajika na mapitio ya tukio, na pia inamzuia mhandisi anayefuata kugundua tena ile ile njia iliyofungwa.

Tenganisha siri kwenye maelezo yako: nenosiri la akaunti, kifungu cha nenosiri cha ufunguo wa faragha na ufunguo wa lango ulioshirikiwa mapema ni vitu vitatu tofauti, hata pale skrini ya mipangilio inapovitta vyote nenosiri. Kuvichanganya ndiyo njia ambayo ufunguo huishia kwenye tikiti. Jaribu wasifu unaotokana na muunganisho mpya na ombi moja la programu kwa rasilimali ya faragha. Handaki lililofanikiwa bila huduma inayoweza kufikiwa ni matokeo ya sehemu, na wasifu haupaswi kuelezewa kuwa umekamilika hadi rasilimali pia ifanye kazi.