Custom na patakaran ng IKEv2 sa Windows: ilapat ito bilang hiwalay na hakbang

Ang isang provisioning package ay gumagawa ng koneksyon ng IKEv2, at ang resultang profile ay nakikipagnegosasyon sa iba kaysa sa set na inilaan mo. Ginawa ng package ang trabaho nito; wala lang talagang field para sa trabahong inakala mo. Ituring ang crypto set bilang hiwalay at nabeberipikang hakbang ng provisioning.

Daanan ang limang bagay sa ibaba nang sunod-sunod, at panatilihing hiwalay ang mga resulta ng pagtanggap.

Dalawang uri ng patakaran sa likod ng magkatulad na pangalan

Hinihiwalay ng Windows ang patakarang nagpoprotekta sa palitan ng key mula sa patakarang nagpoprotekta sa trapiko. Ang panig ng IKE ay naka-configure sa pamamagitan ng paraan ng pag-encrypt at paraan ng integridad. Ang panig ng data ay naka-configure sa pamamagitan ng cipher at mga constant ng authentication transform, at ginagamit ng mga constant na iyon ang sarili nilang pangalan. Ang isang label ng AES na kinopya sa maling field ay gumagawa ng koneksyong naitatag sa ilalim ng patakarang walang sinumang nag-apruba.

Ang pangkat ng palitan ng key at perpektong forward secrecy ay kabilang sa parehong negosasyon at dapat tanggapin ng gateway. Ang pagtatakda ng mga ito nang hindi tinitingnan ang malayong dulo ay nagdudulot ng kabiguan sa huling bahagi kaysa sa bahaging ine-edit mo, at iyon ang dahilan kung bakit parang problema ng gateway ang mga pagkakamaling ito.

Bumuo ng kumpletong patakaran, hindi dalawang pangalan ng algorithm

Isulat ang bawat field nang malinaw, kabilang ang mga inaakala mong default. Ang bahagyang patakarang inilapat na may force flag ay nagiging naka-save na configuration, at ang mga value na iniwan mo ay ang mga mayroon ang platform sa sandaling iyon. Ang mga value na nagsisimula sa parehong prefix ay hindi mapagpapalit sa pagitan ng mga field, at isa sa mga kilalang pangalan ng transform ay may bisa lamang bilang authentication transform.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Ituring ang bloke na iyon bilang isang ilustratibong set na dapat suportahan ng dalawang panig, hindi bilang rekomendasyon. Pinipigilan ng force switch ang isang prompt; hindi nito inaaprubahan ang package na hindi mo pa nasusuri.

Gumawa muna, saka ilapat — sa isang saklaw

Dapat umiral ang koneksyon bago maisaayos ang patakaran nito, at dapat tumugma ang saklaw sa bawat hakbang. Ang isang hakbang sa konteksto ng makina ay hindi makakahanap ng pribadong profile ng kahit sinong user dahil lang sa pareho ang display name. Ang mga koneksyon para sa lahat ng user, mga koneksyon ng user at ang kanilang mga direktoryo ng estado ay magkahiwalay na bagay na may magkahiwalay na pangalan.

Mas mahalaga ang pagkakasunod-sunod kaysa sa hitsura nito sa isang provisioning package, dahil ang dalawang command ay maaaring tumakbo nang mas malapit kaysa sa tagal ng paggawa ng koneksyon. I-package ang trabaho pagkatapos ng configuration bilang aprubadong provisioning command na may idineklarang execution context, at hayaang ang provisioning engine ang magsunod-sunod nito sa halip na magsingit ng hinulaang pagkaantala. Ang tulog na sapat na haba sa iyong test hardware ay isang race condition na may kalakip na pagkaantala. Itala ang dependency, hindi ang tagal.

Ang mga dokumentadong field ng Configuration Designer ay naglalarawan ng isang setting ng VPN at hindi isinisiwalat ang bawat native na kontrol ng IPsec. Kung ang pangangailangan ay pinamamahalaang delivery, ang tagapagbigay ng configuration service ng VPNv2 ay may seksyon ng crypto set para sa eksaktong layuning ito.

Magtalaga ng isang may-ari ng patakaran

Ang susunod na update ng management profile ay maaaring muling gumawa ng koneksyon at palitan ang inilapat ng isang script, at ang pagpapalit ay magmumukhang pag-urong. Magpasya kung pag-aari ng profile, ng script o ng channel ng pamamahala ang set, at gawing ang mga regular na update ay sumunod sa parehong landas tulad ng unang pag-install.

Ang dalawang may-ari ay katulad ng walang may-ari kapag hindi sila nagkakasundo. Isulat ang pangalan ng may-ari sa talaan ng mga pagbabago ng profile. Susunod ang susunod na update sa sasabihin ng talaang iyon.

Beripikahin ang negosyadong resulta, hindi ang package

Basahin ang naka-save na profile at ang saklaw nito, pagkatapos ay magtatag ng bagong koneksyon at ihambing ang mga napiling panukala sa gateway. Kumpirmahin din ang pag-uugali sa muling paggawa ng key, dahil ang unang handshake ay maaaring magtagumpay sa isang set na tinatanggihan ng huling bahagi.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Ang tatlong resulta ng pagtanggap ay hindi isang pangyayari: na-install ang package, umiiral ang profile na may nilalayong patakaran, at napagkasunduan ito ng mga panig. Panatilihing hiwalay ang mga ito, upang ang nawawalang field ay hindi kailanman maayos sa pamamagitan ng pagpapahina ng authentication o pagpapagana ng fallback na walang sinumang pinili.