Sera maalum ya IKEv2 kwenye Windows: itumie kama hatua tofauti

Muunganisho ulioandaliwa na seti maalum ya kriptografia ni matokeo mawili. Linganisha sehemu za sera, wigo wa wasifu na mmiliki anayetumia tena.

Kifurushi cha uandaaji huunda muunganisho wa IKEv2, na wasifu unaotokana hujadili kitu kingine tofauti na seti uliyokusudia. Kifurushi kilifanya kazi yake; hakikuwa na sehemu ya kazi uliyodhani. Chukulia seti ya kriptografia kama hatua tofauti ya uandaaji inayoweza kuthibitishwa.

Pitia hoja tano zilizo hapa chini kwa mpangilio, na utenganishe matokeo ya ukubaliko.

Aina mbili za sera nyuma ya majina yanayofanana

Windows hutenganisha sera inayolinda ubadilishanaji wa funguo na sera inayolinda trafiki. Upande wa IKE husanidiwa kwa mbinu ya usimbaji fiche na mbinu ya uadilifu. Upande wa data husanidiwa kwa viendelezi vya sifa na vya ugeuzaji uthibitishaji, na viendelezi hivyo hutumia majina yao wenyewe. Lebo moja ya AES iliyonakiliwa kwenye sehemu isiyo sahihi huzalisha muunganisho unaoanzishwa chini ya sera ambayo hakuna aliyekubali.

Kikundi cha ubadilishanaji funguo na usiri kamili wa mbele ni sehemu ya majadiliano hayo hayo na lazima vikubalike kwa lango. Kuvipanga bila kukagua upande wa mbali huzalisha kushindwa katika hatua ya baadaye kuliko ile uliyokuwa ukiihariri, na ndiyo sababu makosa haya yanaonekana kama matatizo ya lango.

Jenga sera kamili, si majina mawili ya algoriti

Andika kila sehemu kwa uwazi, ikiwa ni pamoja na zile unazodhani ni chaguo-msingi. Sera isiyokamilika inayotumika kwa bendera ya kulazimisha huwa usanidi uliohifadhiwa, na thamani ulizoacha ni zile ambazo jukwaa lilikuwa nazo wakati huo. Thamani zinazoanza na kiambishi sawa hazibadilishani kati ya sehemu, na mojawapo ya majina ya ugeuzaji yanayojulikana ni halali tu kama ugeuzaji wa uthibitishaji.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Chukulia kizuizi hicho kama seti ya mfano ambayo pande zote mbili lazima ziunge mkono, si pendekezo. Swichi ya kulazimisha hukandamiza ombi; haikubali kifurushi usichokikagua.

Unda kwanza, kisha tumia — katika wigo mmoja

Muunganisho lazima uwepo kabla ya sera yake kuwekwa, na wigo lazima ulingane katika kila hatua. Hatua katika muktadha wa mashine haiwezi kupata wasifu wa faragha wa mtumiaji yeyote kwa sababu tu jina la kuonyesha ni sawa. Miunganisho ya watumiaji wote, miunganisho ya mtumiaji na saraka zao za hali ni vitu tofauti vyenye majina tofauti.

Mpangilio ni muhimu zaidi kuliko inavyoonekana kwenye kifurushi cha uandaaji, kwa sababu amri mbili zinaweza kuendeshwa karibu zaidi kuliko muda unaochukua kuunda muunganisho. Funga kazi ya baada ya usanidi kama amri ya uandaaji iliyoidhinishwa na muktadha wa utekelezaji uliotangazwa, na acha injini ya uandaaji iipange badala ya kuingiza ucheleweshaji uliokadiriwa. Usingizi wa kutosha kwenye maunzi yako ya majaribio ni hali ya mbio ikiwa na ucheleweshaji. Rekodi utegemezi, si muda.

Sehemu zilizoandikwa za Configuration Designer zinaelezea mpangilio mmoja wa VPN na hazifichui kila udhibiti asili wa IPsec. Ikiwa hitaji ni uwasilishaji unaosimamiwa, mtoa huduma wa usanidi wa VPNv2 ana sehemu ya seti ya kriptografia kwa madhumuni haya hasa.

Teua mmiliki mmoja wa sera

Sasisho la baadaye la wasifu wa usimamizi linaweza kuunda upya muunganisho na kubadilisha kile script ilichotumia, na uingizwaji utaonekana kama kurudi nyuma. Amua kama seti inamilikiwa na wasifu, script au njia ya usimamizi, na hakikisha masasisho ya kawaida yanafuata njia sawa na usanidi wa kwanza.

Wamiliki wawili ni sawa na hakuna mmiliki wakati wawili hao hawakubaliani. Andika jina la mmiliki kwenye rekodi ya mabadiliko ya wasifu. Sasisho lijalo litafuata kile rekodi hiyo inasema.

Thibitisha matokeo yaliyojadiliwa, si kifurushi

Soma wasifu uliohifadhiwa na wigo wake, kisha anzisha muunganisho mpya na linganisha mapendekezo yaliyochaguliwa kwenye lango. Thibitisha pia tabia ya kuzalisha upya funguo, kwa sababu kupeana mikono kwa mara ya kwanza kunaweza kufanikiwa na seti ambayo hatua ya baadaye inakataa.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Matokeo matatu ya ukubaliko si tukio moja: kifurushi kilisakinishwa, wasifu upo na sera iliyokusudiwa, na pande zote zilijadiliana. Vitenganishe, ili sehemu inayokosekana isirekebishwe kamwe kwa kudhoofisha uthibitishaji au kwa kuwasha mbadala ambao hakuna aliyechagua.

Makala zinazohusiana