Windows-da IKEv2 moslashtirilgan siyosati: uni alohida qadam sifatida qo'llang

Provisioning paketi IKEv2 ulanishini yaratadi va natijada hosil bo'lgan profil siz mo'ljallagan to'plamdan boshqa narsa bo'yicha kelishadi. Paket o'z ishini qildi; unda siz taxmin qilgan ish uchun maydon hech qachon bo'lmagan. Kriptografik to'plamni alohida va tekshiriladigan provisioning qadami deb biling.

Quyidagi besh bandni tartib bilan bajaring va qabul natijalarini alohida saqlang.

O'xshash nomlar ortidagi ikki xil siyosat

Windows kalit almashinuvini himoya qiluvchi siyosatni trafikni himoya qiluvchi siyosatdan ajratadi. IKE tomoni shifrlash usuli va yaxlitlik usuli bilan konfiguratsiya qilinadi. Ma'lumot tomoni shifr va autentifikatsiya o'zgartirish konstantalari bilan konfiguratsiya qilinadi, va bu konstantalar o'z nomlaridan foydalanadi. Noto'g'ri maydonga ko'chirilgan bitta AES yorlig'i hech kim tasdiqlamagan siyosat ostida o'rnatiladigan ulanish hosil qiladi.

Kalit almashinuv guruhi va mukammal oldinga sir saqlash bir xil muzokaraga tegishli va shlyuz uchun maqbul bo'lishi kerak. Ularni uzoq tomonni tekshirmasdan o'rnatish siz tahrirlayotgan bosqichdan keyingi bosqichda xatolik keltiradi, shuning uchun bu xatolar shlyuz muammolariga o'xshaydi.

To'liq siyosat quring, ikki algoritm nomini emas

Har bir maydonni aniq yozing, standart deb hisoblaganlaringizni ham. Majburlash bayrog'i bilan qo'llangan qisman siyosat saqlangan konfiguratsiyaga aylanadi, va siz qoldirgan qiymatlar o'sha daqiqada platformada bo'lgan qiymatlardir. Bir xil prefiks bilan boshlanadigan qiymatlar maydonlar o'rtasida almashtirilmaydi, va ma'lum o'zgartirish nomlaridan biri faqat autentifikatsiya o'zgartirishi sifatida amal qiladi.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Ushbu blokni ikkala tomon qo'llab-quvvatlashi kerak bo'lgan namuna to'plam deb biling, tavsiya sifatida emas. Majburlash kaliti so'rovni bosadi; siz ko'rib chiqmagan paketni tasdiqlamaydi.

Avval yarating, keyin qo'llang — bitta doirada

Siyosatini o'rnatishdan oldin ulanish mavjud bo'lishi kerak, va doirada har bir qadamda mos kelishi kerak. Mashina kontekstidagi qadam faqat ko'rsatiladigan nom bir xil bo'lgani uchun ixtiyoriy foydalanuvchining shaxsiy profilini topa olmaydi. Barcha foydalanuvchi ulanishlari, foydalanuvchi ulanishlari va ularning holat kataloglari alohida nomlarga ega alohida obyektlardir.

Tartib provisioning paketida ko'ringanidan muhimroq, chunki ikki buyruq ulanish yaratish uchun ketadigan vaqtdan yaqinroq ishlashi mumkin. Konfiguratsiyadan keyingi ishni e'lon qilingan bajarish kontekstiga ega tasdiqlangan provisioning buyrug'i sifatida qadoqlang va taxminiy kechikish kiritish o'rniga provisioning mexanizmiga uni tartiblashga ruxsat bering. Sinov apparatingizda yetarlicha uzoq uyqu kechikish bilan bog'langan poyga holatidir. Davomiylikni emas, bog'liqlikni yozib oling.

Hujjatlashtirilgan Configuration Designer maydonlari bitta VPN sozlamasini tavsiflaydi va har bir mahalliy IPsec boshqaruvini ochib bermaydi. Agar talab boshqariladigan yetkazib berish bo'lsa, VPNv2 konfiguratsiya xizmati provayderida aynan shu maqsad uchun kriptografiya to'plami bo'limi mavjud.

Siyosat uchun bitta egasini tayinlang

Keyinchalik boshqaruv profili yangilanishi ulanishni qayta yaratishi va skript qo'llagan narsani almashtirishi mumkin, va almashtirish regressiya kabi ko'rinadi. To'plam profilga, skriptga yoki boshqaruv kanaliga tegishli ekanini hal qiling va oddiy yangilanishlar birinchi o'rnatish bilan bir xil yo'ldan yurishini ta'minlang.

Ikki ega kelishmasa, bu egasiz bilan barobar. Profilning o'zgarish yozuviga egasining nomini yozing. Keyingi yangilanish o'sha yozuv aytganiga amal qiladi.

Paketni emas, kelishilgan natijani tekshiring

Saqlangan profilni va uning doirasini o'qing, so'ng yangi ulanish o'rnatib, shlyuzda tanlangan takliflarni solishtiring. Kalitlarni qayta yaratish xatti-harakatini ham tasdiqlang, chunki boshlang'ich qo'l berish keyingi bosqich rad etadigan to'plam bilan ham muvaffaqiyatli bo'lishi mumkin.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Uch qabul natijasi bir xil hodisa emas: paket o'rnatildi, profil ko'zda tutilgan siyosat bilan mavjud, va tomonlar u bo'yicha kelishdi. Ularni alohida saqlang, shunda yetishmayotgan maydon hech qachon autentifikatsiyani zaiflashtirish yoki hech kim tanlamagan zaxira variantni yoqish bilan tuzatilmasin.