Windows میں IKEv2 حسبِ ضرورت پالیسی: اسے الگ مرحلے کے طور پر لاگو کریں

پروویژننگ پیکیج ایک IKEv2 کنکشن بناتا ہے، اور اس سے بننے والا پروفائل اس سیٹ کے علاوہ کسی اور چیز پر بات چیت کرتا ہے جو آپ نے سوچا تھا۔ پیکیج نے اپنا کام کیا؛ اس میں کبھی اس کام کے لیے فیلڈ نہیں تھی جو آپ نے فرض کیا۔ کرپٹو سیٹ کو الگ اور قابلِ تصدیق پروویژننگ مرحلہ سمجھیں۔

نیچے دیے گئے پانچ نکات ترتیب سے مکمل کریں اور قبولیت کے نتائج الگ رکھیں۔

ملتے جلتے ناموں کے پیچھے دو قسم کی پالیسی

Windows کلیدوں کے تبادلے کی حفاظت کرنے والی پالیسی کو ٹریفک کی حفاظت کرنے والی پالیسی سے الگ کرتا ہے۔ IKE طرف انکرپشن طریقہ اور انٹیگریٹی طریقہ سے کنفیگر ہوتا ہے۔ ڈیٹا طرف سائفر اور تصدیقی ٹرانسفارم کنسٹنٹس سے کنفیگر ہوتا ہے، اور وہ کنسٹنٹس اپنے نام استعمال کرتے ہیں۔ غلط فیلڈ میں کاپی کی گئی ایک AES لیبل ایسا کنکشن بناتی ہے جو ایسی پالیسی کے تحت قائم ہوتا ہے جسے کسی نے منظور نہیں کیا۔

کلیدوں کے تبادلے کا گروپ اور کامل آگے کی رازداری ایک ہی گفت و شنید کا حصہ ہیں اور گیٹ وے کے لیے قابلِ قبول ہونا چاہیے۔ دور کے سرے کی جانچ کے بغیر انہیں سیٹ کرنا اس مرحلے سے بعد کے مرحلے میں ناکامی پیدا کرتا ہے جسے آپ مدون کر رہے تھے، اسی لیے یہ غلطیاں گیٹ وے کے مسائل جیسی لگتی ہیں۔

دو الگورتھم نام نہیں، مکمل پالیسی بنائیں

ہر فیلڈ واضح طور پر لکھیں، انہیں بھی جنہیں آپ ڈیفالٹ سمجھتے ہیں۔ فورس فلیگ کے ساتھ لاگو کی گئی جزوی پالیسی محفوظ کنفیگریشن بن جاتی ہے، اور جو اقدار آپ نے چھوڑیں وہ وہی ہیں جو اس لمحے پلیٹ فارم کے پاس تھیں۔ ایک ہی سابقے سے شروع ہونے والی اقدار فیلڈز کے درمیان قابلِ تبادلہ نہیں، اور معروف ٹرانسفارم ناموں میں سے ایک صرف تصدیقی ٹرانسفارم کے طور پر درست ہے۔

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

اس بلاک کو ایک مثالی سیٹ سمجھیں جسے آپ کے دونوں فریقوں کو سپورٹ کرنا ہے، سفارش کے طور پر نہیں۔ فورس سوئچ پرامپٹ کو دبا دیتا ہے؛ یہ اس پیکیج کی منظوری نہیں دیتا جس کا آپ نے جائزہ نہیں لیا۔

پہلے بنائیں، پھر لاگو کریں — ایک ہی دائرے میں

پالیسی سیٹ کرنے سے پہلے کنکشن موجود ہونا چاہیے، اور ہر مرحلے پر دائرہ مطابق ہونا چاہیے۔ مشین کے سیاق میں ایک مرحلہ صرف اس لیے کسی بھی صارف کا نجی پروفائل نہیں ڈھونڈ سکتا کہ دکھایا جانے والا نام ایک جیسا ہے۔ تمام صارفین کے کنکشن، صارف کے کنکشن اور ان کی حالت کی ڈائریکٹریاں الگ ناموں والی الگ اشیاء ہیں۔

ترتیب پروویژننگ پیکیج میں نظر آنے سے زیادہ اہم ہے، کیونکہ دو کمانڈز کنکشن بننے میں لگنے والے وقت سے زیادہ قریب چل سکتی ہیں۔ کنفیگریشن کے بعد کا کام اعلان شدہ عمل درآمد کے سیاق کے ساتھ منظور شدہ پروویژننگ کمانڈ کے طور پر پیکیج کریں، اور اندازے کے مطابق تاخیر ڈالنے کے بجائے پروویژننگ انجن کو اس کی ترتیب دینے دیں۔ آپ کے ٹیسٹ ہارڈویئر پر کافی لمبی نیند تاخیر کے ساتھ منسلک ریس کی حالت ہے۔ مدت نہیں، انحصار درج کریں۔

دستاویز شدہ Configuration Designer فیلڈز ایک VPN سیٹنگ بیان کرتی ہیں اور ہر مقامی IPsec کنٹرول کو ظاہر نہیں کرتیں۔ اگر ضرورت زیرِ انتظام ڈیلیوری ہے، تو VPNv2 کنفیگریشن سروس فراہم کنندہ کے پاس اسی مقصد کے لیے کرپٹوگرافی سیٹ کا حصہ ہے۔

پالیسی کے لیے ایک ہی مالک مقرر کریں

بعد میں مینجمنٹ پروفائل کی اپ ڈیٹ کنکشن دوبارہ بنا سکتی ہے اور اسے بدل سکتی ہے جو کسی اسکرپٹ نے لاگو کیا، اور یہ تبدیلی پسپائی جیسی دکھے گی۔ فیصلہ کریں کہ سیٹ پروفائل، اسکرپٹ یا مینجمنٹ چینل کی ملکیت ہے، اور معمول کی اپ ڈیٹس پہلی تنصیب والا ہی راستہ اختیار کریں۔

دو مالک جب اختلاف کریں تو وہ مالک نہ ہونے کے برابر ہیں۔ پروفائل کے ریکارڈِ تبدیلی میں مالک کا نام لکھیں۔ اگلی اپ ڈیٹ وہی کرے گی جو وہ ریکارڈ کہتا ہے۔

پیکیج نہیں، طے شدہ نتیجہ تصدیق کریں

محفوظ پروفائل اور اس کا دائرہ پڑھیں، پھر نیا کنکشن قائم کریں اور گیٹ وے پر منتخب کردہ تجاویز کا موازنہ کریں۔ کلید کی تجدید کا رویہ بھی تصدیق کریں، کیونکہ ابتدائی مصافحہ ایسے سیٹ کے ساتھ کامیاب ہو سکتا ہے جسے بعد کا مرحلہ مسترد کرتا ہے۔

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

قبولیت کے تین نتائج ایک ہی واقعہ نہیں: پیکیج نصب ہوا، پروفائل مطلوبہ پالیسی کے ساتھ موجود ہے، اور فریقین نے اس پر بات چیت کی۔ انہیں الگ رکھیں، تاکہ غائب فیلڈ کبھی تصدیق کو کمزور کر کے یا کسی ایسے متبادل کو فعال کر کے ٹھیک نہ کیا جائے جو کسی نے منتخب نہیں کیا۔