Nega Windows IKEv2'da umuman PSK maydoni yo'q

Shlyuz hujjatlari oldindan umumiy kalit mijozga kiritilishini aytadi, lekin Windows profilida u uchun maydon yo'q. Bu bo'shliq kalitni parol maydoniga yozib chetlab o'tiladigan xato emas. Bu protokol nima qila olishi va muayyan tatbiq nima taklif qilishi o'rtasidagi farq.

Protokol qobiliyati mijoz qo'llab-quvvatlashi emas

IKEv2 spetsifikatsiyasi umumiy kalit bilan autentifikatsiyani o'z ichiga oladi, shuning uchun shlyuzni unga qonuniy ravishda sozlash mumkin. Windows'ning mahalliy masofaviy kirish profili esa buning o'rniga sertifikat va EAP tartiblarini hujjatlashtiradi, protokol qobiliyati esa mijozda hech qachon bo'lmagan maydon, parametr yoki reyestr qiymatini yaratmaydi.

Odamlar odatda VPN ulanishini qo'shish bo'yicha PowerShell ma'lumotnomasi sahifasiga keladi, u yerda L2TP tartibi uchun L2tpPsk ko'rsatilgan. Bu parametr L2TP ga tegishli va umumiy IKEv2 siri emas. Algoritm tanlash sozlamalari himoya parametrlarini tanlaydi, bu uchinchi va aloqasiz masala. Windows Server'ning marshrutlash roli ham bir xil obyekt emas. Server interfeysida ish stoli mijozi profilida bo'lmagan konfiguratsiya boshqaruvlari bo'lishi mumkin, server sozlamasini ish stansiyasi profiliga ko'chirish esa bu qobiliyatni qayta hosil qilmaydi.

Sertifikat, EAP yoki L2TP tanlang

Agar shlyuz operatori sertifikat bilan autentifikatsiyani qabul qilsa, bu odatda eng toza manzil: mijoz sertifikat taqdim etadi, shlyuz uni ishonchli emitent oldida tekshiradi va profilda hech kim ko'chira oladigan umumiy sir qolmaydi. Bu ro'yxatdan o'tish, ishonchli zanjir va sertifikatni ruxsat qaroriga bog'laydigan shlyuz konfiguratsiyasini talab qiladi.

Foydalanuvchi hisob ma'lumotlari bilan EAP bu mijozdagi boshqa qo'llab-quvvatlanadigan yo'l bo'lib, qarorni identifikatsiya provayderiga o'tkazadi. U o'z bog'liqliklarini ham olib keladi, chunki EAP usuli, server sertifikati va mijozning bu sertifikatga ishonchi barchasi mos kelishi kerak. Faqat tanish maydon olish uchun L2TP/IPsec'ga o'tish protokol stekini o'zgartiradi. Bu hujjatlashtirilgan sababga ega qo'llab-quvvatlanadigan tanlov bo'lsa maqbul, birov kalit yozadigan quti izlagani uchun sodir bo'lsa yomon natija.

Shlyuz nimani qabul qilishini tekshiring

Operatordan masofaviy kirish xizmati bugun qaysi autentifikatsiya usullarini taklif qilishini so'rang, mahsulot umuman qaysilarini qo'llab-quvvatlashini emas. Faqat PSK uchun sozlangan IKEv2 xizmati mijoz afzal ko'rgani uchun sertifikatni qabul qilmaydi.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Profilning autentifikatsiya usuli va sertifikat omborini birga o'qing. Orqasida foydalanish mumkin bo'lgan sertifikat yo'q EAP'ga sozlangan profil server muammosiga o'xshab ko'rinadigan tarzda muvaffaqiyatsiz bo'ladi.

Agar javob faqat PSK mavjud degan bo'lsa, halol variantlar uni qo'llab-quvvatlaydigan tasdiqlangan mijoz yoki shlyuzning autentifikatsiya dizaynini o'zgartirishdir. Ikkalasi ham mahalliy yechim emas, buning aksini ko'rsatish esa faqat sozlagan odamgina takrorlay oladigan ulanishni hosil qiladi.

Qaror va sirlarni yozib qo'ying

Tanlangan usulni, ishonch langarini, unga mos identifikatsiyani va o'zgarishni tasdiqlagan shaxsni yozib qo'ying. O'sha yozuv hodisani ko'rib chiqishga kerak bo'lgan narsa, va u keyingi muhandisning o'sha boshi berk yo'lni qayta topishiga yo'l qo'ymaydi.

Yozuvlaringizda sirlarni alohida saqlang: hisob paroli, shaxsiy kalitning parol iborasi va shlyuzning oldindan umumiy kaliti uch xil narsa, sozlamalar ekrani ularning barchasini parol deb atasa ham. Ularni aralashtirish kalitning biletga tushish yo'lidir. Natijaviy profilni yangi ulanish va shaxsiy resursga bitta dastur so'rovi bilan sinab ko'ring. Erishish mumkin bo'lgan xizmatsiz muvaffaqiyatli tunnel qisman natija, va resurs ham ishlamaguncha profilni tugallangan deb tasvirlash kerak emas.