Yerleşik Windows IKEv2'de neden hiç PSK alanı yok

Ağ geçidi belgeleri, önceden paylaşılan anahtarın istemciye girildiğini söyler, ancak Windows profilinde bunun için alan yoktur. Bu boşluk, anahtarı parola kutusuna yazarak atlatılacak bir hata değildir. Bir protokolün neler yapabildiği ile belirli bir uygulamanın ne sunduğu arasındaki farktır.

Protokol yeteneği istemci desteği değildir

IKEv2 belirtimi paylaşılan anahtarla kimlik doğrulamayı içerir, bu nedenle ağ geçidi bunun için meşru şekilde yapılandırılabilir. Windows'un yerleşik uzak erişim profili bunun yerine sertifika ve EAP düzenlerini belgeler ve protokol yeteneği, istemcinin hiç sahip olmadığı bir alan, parametre veya kayıt defteri değeri yaratmaz.

İnsanlar genellikle VPN bağlantısı eklemek için PowerShell başvurusu sayfasına ulaşır ve orada L2TP düzeni için L2tpPsk gösterilir. Bu parametre L2TP öğesine aittir ve genel bir IKEv2 sırrı değildir. Algoritma seçimi ayarları koruma parametrelerini seçer, bu üçüncü ve ilgisiz bir konudur. Windows Server yönlendirme rolü de aynı nesne değildir. Bir sunucu arabirimi, masaüstü istemci profilinde olmayan yapılandırma denetimlerine sahip olabilir ve bir sunucu ayarını iş istasyonu profiline kopyalamak bu yeteneği yeniden üretmez.

Sertifika, EAP veya L2TP arasında seçin

Ağ geçidi operatörü sertifikayla kimlik doğrulamayı kabul ederse, bu genellikle en temiz hedeftir: istemci bir sertifika sunar, ağ geçidi bunu güvenilir bir verici nezdinde doğrular ve profilde kimsenin kopyalayabileceği paylaşılan bir sır kalmaz. Bu, kayıt, güvenilir bir zincir ve sertifikayı yetkilendirme kararına bağlayan bir ağ geçidi yapılandırması gerektirir.

Kullanıcı kimlik bilgisiyle EAP bu istemcide desteklenen diğer yoldur ve kararı bir kimlik sağlayıcısına taşır. Kendi bağımlılıklarını da getirir, çünkü EAP yöntemi, sunucu sertifikası ve istemcinin o sertifikaya güveni hep birlikte uyuşmalıdır. Yalnızca tanıdık bir alan elde etmek için L2TP/IPsec'e geçmek protokol yığınını değiştirir. Bu, belgelenmiş gerekçesi olan desteklenen bir seçim olduğunda kabul edilebilir ve biri anahtar yazacak bir kutu aradığı için olduğunda kötü bir sonuçtur.

Ağ geçidinin neyi kabul edeceğini denetleyin

Operatöre uzak erişim hizmetinin bugün hangi kimlik doğrulama yöntemlerini sunduğunu sorun, ürünün genel olarak hangilerini desteklediğini değil. Yalnızca PSK için yapılandırılmış bir IKEv2 hizmeti, istemci tercih ediyor diye sertifika kabul etmez.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Profilin kimlik doğrulama yöntemini ve sertifika deposunu birlikte okuyun. Arkasında kullanılabilir bir sertifika olmayan EAP'ye ayarlı profil, sunucu sorunu gibi görünen bir şekilde başarısız olur.

Yanıt yalnızca PSK varsa şeklindeyse, dürüst seçenekler onu destekleyen onaylı bir istemci veya ağ geçidinin kimlik doğrulama tasarımında bir değişikliktir. İkisi de yerel bir geçici çözüm değildir ve aksini iddia etmek yalnızca yapılandıran kişinin yeniden üretebileceği bir bağlantı üretir.

Kararı ve sırları kaydedin

Seçilen yöntemi, güven çapasını, ona karşılık gelen kimliği ve değişikliği onaylayan kişiyi yazın. Bu kayıt, olay incelemesinin ihtiyaç duyduğu şeydir ve sonraki mühendisin aynı çıkmaz sokağı yeniden keşfetmesini de engeller.

Notlarınızda sırları ayrı tutun: bir hesap parolası, özel anahtar parolası ve ağ geçidinin önceden paylaşılan anahtarı üç farklı şeydir, ayarlar ekranı hepsini parola olarak adlandırsa bile. Bunları karıştırmak, bir anahtarın bilete düşme yoludur. Ortaya çıkan profili yeni bir bağlantı ve özel bir kaynağa bir uygulama isteğiyle test edin. Erişilebilir bir hizmet olmadan başarılı tünel kısmi bir sonuçtur ve kaynak da çalışmadan profil tamamlandı olarak tanımlanmamalıdır.