Windows'ta özel IKEv2 ilkesi: bunu ayrı bir adım olarak uygulayın

Hazırlanmış bağlantı ve özel kripto kümesi iki sonuçtur. İlke alanlarını, profil kapsamını ve bunları yeniden uygulayan sahibi eşleştirin.

Bir hazırlama paketi IKEv2 bağlantısı oluşturur ve ortaya çıkan profil, amaçladığınız kümeden farklı bir şey üzerinde anlaşır. Paket kendi işini yaptı; yalnızca varsaydığınız iş için hiçbir zaman bir alanı olmadı. Kripto kümesini ayrı ve doğrulanabilir bir hazırlama adımı olarak ele alın.

Aşağıdaki beş maddeyi sırayla tamamlayın ve kabul sonuçlarını ayrı tutun.

Benzer adların arkasındaki iki tür ilke

Windows, anahtar değişimini koruyan ilkeyi trafiği koruyan ilkeden ayırır. IKE tarafı bir şifreleme yöntemi ve bir bütünlük yöntemiyle yapılandırılır. Veri tarafı şifre ve kimlik doğrulama dönüşümü sabitleriyle yapılandırılır ve bu sabitler kendi adlarını kullanır. Yanlış alana kopyalanan tek bir AES etiketi, kimsenin onaylamadığı bir ilke altında kurulan bir bağlantı üretir.

Anahtar değişim grubu ve kusursuz ileri gizlilik aynı görüşmeye aittir ve geçit için kabul edilebilir olmalıdır. Bunları uzak ucu denetlemeden ayarlamak, düzenlediğiniz aşamadan daha sonraki bir aşamada başarısızlık üretir ve bu yüzden bu hatalar geçit sorunları gibi görünür.

İki algoritma adı değil, eksiksiz bir ilke oluşturun

Her alanı açıkça yazın, varsayılan saydıklarınız dahil. Zorlama bayrağıyla uygulanan kısmi bir ilke kayıtlı yapılandırma haline gelir ve dışarıda bıraktığınız değerler platformun o anda sahip olduğu değerlerdir. Aynı önekle başlayan değerler alanlar arasında birbirinin yerine geçmez ve bilinen dönüşüm adlarından biri yalnızca kimlik doğrulama dönüşümü olarak geçerlidir.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

O bloğu, her iki tarafın da desteklemesi gereken örnek bir küme olarak ele alın, öneri olarak değil. Zorlama anahtarı bir istemi bastırır; incelemediğiniz bir paketi onaylamaz.

Önce oluşturun, sonra uygulayın — tek bir kapsamda

İlkesi ayarlanmadan önce bağlantının var olması gerekir ve kapsam her adımda eşleşmelidir. Makine bağlamındaki bir adım, yalnızca görünen ad aynı diye herhangi bir kullanıcının özel profilini bulamaz. Tüm kullanıcı bağlantıları, kullanıcı bağlantıları ve bunların durum dizinleri ayrı adlara sahip ayrı nesnelerdir.

Sıra, bir hazırlama paketinde göründüğünden daha önemlidir, çünkü iki komut bağlantının oluşturulması için gereken süreden daha yakın çalışabilir. Yapılandırma sonrası işi, bildirilmiş bir yürütme bağlamına sahip onaylı bir hazırlama komutu olarak paketleyin ve tahmini bir gecikme eklemek yerine hazırlama motorunun sıralamasına bırakın. Test donanımınızda yeterince uzun bir uyku, gecikme eklenmiş bir yarış durumudur. Süreyi değil, bağımlılığı kaydedin.

Belgelenmiş Configuration Designer alanları tek bir VPN ayarını tanımlar ve her yerel IPsec denetimini açığa çıkarmaz. Gereksinim yönetilen bir teslimat ise, VPNv2 yapılandırma hizmeti sağlayıcısının tam bu amaç için bir kripto kümesi bölümü vardır.

İlke için tek bir sahip belirleyin

Daha sonraki bir yönetim profili güncellemesi bağlantıyı yeniden oluşturabilir ve bir betiğin uyguladığını değiştirebilir; değişiklik bir gerileme gibi görünecektir. Kümenin profile, bir betiğe mi yoksa yönetim kanalına mı ait olduğuna karar verin ve rutin güncellemelerin ilk kurulumla aynı yolu izlemesini sağlayın.

İki sahip, anlaşamadıklarında hiç sahip olmamakla aynıdır. Sahibin adını profilin değişiklik kaydına yazın. Sonraki güncelleme o kaydın söylediğini izleyecektir.

Paketi değil, görüşülen sonucu doğrulayın

Kayıtlı profili ve kapsamını okuyun, ardından yeni bir bağlantı kurun ve seçilen önerileri geçitte karşılaştırın. Anahtar yenileme davranışını da doğrulayın, çünkü ilk el sıkışma daha sonraki bir aşamanın reddettiği bir kümeyle başarılı olabilir.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Üç kabul sonucu aynı olay değildir: paket kuruldu, profil amaçlanan ilkeyle var ve taraflar bunu görüştü. Bunları ayrı tutun; böylece eksik bir alan asla kimlik doğrulamayı zayıflatmakla veya kimsenin seçmediği bir yedek yolu etkinleştirmekle onarılmaz.

İlgili makaleler