Vì sao Windows IKEv2 gốc hoàn toàn không có trường PSK

Tài liệu của cổng nói rằng khóa chia sẻ trước được nhập vào ứng dụng khách, nhưng hồ sơ Windows không có trường cho nó. Khoảng trống này không phải lỗi để lách bằng cách gõ khóa vào ô mật khẩu. Đó là khác biệt giữa điều một giao thức có thể làm và điều một cách triển khai cụ thể cung cấp.

Năng lực giao thức không phải là hỗ trợ của ứng dụng khách

Đặc tả IKEv2 bao gồm xác thực bằng khóa chia sẻ, nên cổng có thể được cấu hình hợp lệ cho nó. Hồ sơ truy cập từ xa gốc của Windows lại ghi nhận các bố trí dùng chứng chỉ và EAP, và năng lực giao thức không tạo ra trường, tham số hay giá trị sổ đăng ký mà ứng dụng khách chưa từng có.

Mọi người thường dừng ở tài liệu tham chiếu PowerShell để thêm kết nối VPN, nơi hiển thị L2tpPsk cho bố trí L2TP. Tham số đó thuộc về L2TP và không phải bí mật chung của IKEv2. Các thiết lập chọn thuật toán chọn tham số bảo vệ, đó là việc thứ ba không liên quan. Vai trò định tuyến của Windows Server cũng không phải cùng một đối tượng. Một giao diện máy chủ có thể có các điều khiển cấu hình mà hồ sơ ứng dụng khách để bàn không có, và sao chép một thiết lập máy chủ vào hồ sơ máy trạm không tái tạo năng lực đó.

Chọn giữa chứng chỉ, EAP hoặc L2TP

Nếu người vận hành cổng chấp nhận xác thực bằng chứng chỉ, đó thường là đích sạch nhất: ứng dụng khách trình bày chứng chỉ, cổng xác minh nó với nhà phát hành tin cậy, và không có bí mật chia sẻ nào nằm trong hồ sơ để ai đó sao chép. Việc này cần đăng ký, một chuỗi tin cậy và cấu hình cổng ánh xạ chứng chỉ tới quyết định cấp quyền.

EAP với thông tin đăng nhập người dùng là đường còn lại được hỗ trợ trên ứng dụng khách này, và nó chuyển quyết định sang nhà cung cấp danh tính. Nó cũng mang theo phụ thuộc riêng, vì phương thức EAP, chứng chỉ máy chủ và sự tin cậy của ứng dụng khách vào chứng chỉ đó đều phải khớp. Chuyển sang L2TP/IPsec chỉ để có một trường quen thuộc sẽ thay đổi chồng giao thức. Điều đó chấp nhận được khi đây là lựa chọn được hỗ trợ với lý do được ghi lại, và là kết quả xấu khi nó xảy ra vì ai đó đang tìm một ô để gõ khóa.

Kiểm tra xem cổng sẽ chấp nhận gì

Hỏi người vận hành xem dịch vụ truy cập từ xa cung cấp những phương thức xác thực nào hôm nay, chứ không phải sản phẩm hỗ trợ những gì nói chung. Một dịch vụ được cấu hình cho IKEv2 chỉ với PSK sẽ không chấp nhận chứng chỉ chỉ vì ứng dụng khách thích nó.

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

Đọc phương thức xác thực của hồ sơ và kho chứng chỉ cùng nhau. Một hồ sơ đặt thành EAP mà không có chứng chỉ dùng được phía sau sẽ thất bại theo cách trông như sự cố máy chủ.

Nếu câu trả lời là chỉ có PSK, các lựa chọn trung thực là một ứng dụng khách đã được phê duyệt hỗ trợ nó hoặc thay đổi thiết kế xác thực của cổng. Cả hai đều không phải cách xử lý cục bộ, và giả vờ ngược lại sẽ tạo ra kết nối mà chỉ người đã cấu hình mới tái tạo được.

Ghi lại quyết định và các bí mật

Ghi lại phương thức đã chọn, neo tin cậy, danh tính tương ứng và người đã phê duyệt thay đổi. Bản ghi đó là thứ một cuộc rà soát sự cố cần, và nó cũng ngăn kỹ sư tiếp theo phát hiện lại cùng một ngõ cụt.

Giữ các bí mật riêng trong ghi chú của bạn: mật khẩu tài khoản, cụm mật khẩu của khóa riêng và khóa chia sẻ trước của cổng là ba thứ khác nhau, ngay cả khi màn hình cài đặt gọi tất cả là mật khẩu. Nhầm lẫn chúng là cách một khóa rơi vào phiếu hỗ trợ. Kiểm tra hồ sơ tạo được bằng một kết nối mới và một yêu cầu ứng dụng tới tài nguyên riêng. Một đường hầm thành công mà không có dịch vụ nào tiếp cận được là kết quả một phần, và không nên mô tả hồ sơ là hoàn tất cho đến khi tài nguyên cũng hoạt động.