Chính sách IKEv2 tùy chỉnh trên Windows: áp dụng nó như một bước riêng

Một kết nối đã cấp phát và một bộ mật mã tùy chỉnh là hai kết quả. Khớp các trường chính sách, phạm vi hồ sơ và chủ sở hữu áp dụng lại chúng.

Một gói cấp phát tạo ra kết nối IKEv2, và hồ sơ sinh ra thương lượng thứ khác với bộ mà bạn dự định. Gói đã làm xong việc của nó; nó đơn giản là chưa bao giờ có trường cho công việc mà bạn giả định. Hãy coi bộ mật mã là một bước cấp phát riêng biệt và có thể kiểm chứng.

Thực hiện năm mục dưới đây theo thứ tự và giữ các kết quả chấp nhận tách biệt.

Hai loại chính sách đằng sau những cái tên giống nhau

Windows tách chính sách bảo vệ việc trao đổi khóa khỏi chính sách bảo vệ lưu lượng. Phía IKE được cấu hình bằng một phương thức mã hóa và một phương thức toàn vẹn. Phía dữ liệu được cấu hình bằng hằng số mật mã và hằng số biến đổi xác thực, và các hằng số đó dùng tên riêng của chúng. Một nhãn AES duy nhất bị sao chép vào trường sai tạo ra một kết nối được thiết lập theo chính sách mà không ai phê duyệt.

Nhóm trao đổi khóa và tính bí mật hoàn hảo về phía trước thuộc cùng một cuộc thương lượng và phải được cổng chấp nhận. Đặt chúng mà không kiểm tra đầu xa tạo ra lỗi ở giai đoạn muộn hơn giai đoạn bạn đang sửa, và đó là lý do những lỗi này trông giống sự cố của cổng.

Xây dựng một chính sách đầy đủ, không phải hai tên thuật toán

Viết rõ từng trường, kể cả những trường bạn cho là mặc định. Một chính sách một phần được áp dụng với cờ cưỡng bức sẽ trở thành cấu hình được lưu, và những giá trị bạn bỏ qua là những gì nền tảng có tại thời điểm đó. Các giá trị bắt đầu bằng cùng tiền tố không thể hoán đổi giữa các trường, và một trong những tên biến đổi nổi tiếng chỉ hợp lệ như một biến đổi xác thực.

$policy = @{
    ConnectionName = 'Corp IKEv2'
    AllUserConnection = $true
    EncryptionMethod = 'AES256'
    IntegrityCheckMethod = 'SHA384'
    CipherTransformConstants = 'AES256'
    AuthenticationTransformConstants = 'SHA384128'
    DHGroup = 'Group19'
    PfsGroup = 'PFS2048'
    Force = $true
}
Set-VpnConnectionIPsecConfiguration @policy

Coi khối đó như một bộ minh họa mà cả hai phía phải hỗ trợ, không phải một khuyến nghị. Công tắc cưỡng bức chặn một lời nhắc; nó không phê duyệt một gói mà bạn chưa xem xét.

Tạo trước, rồi áp dụng — trong một phạm vi

Kết nối phải tồn tại trước khi có thể đặt chính sách của nó, và phạm vi phải khớp ở mỗi bước. Một bước trong ngữ cảnh máy không thể tìm thấy hồ sơ riêng của một người dùng tùy ý chỉ vì tên hiển thị giống nhau. Kết nối cho mọi người dùng, kết nối người dùng và thư mục trạng thái của chúng là các đối tượng riêng biệt với tên riêng biệt.

Thứ tự quan trọng hơn vẻ ngoài của nó trong một gói cấp phát, vì hai lệnh có thể chạy gần nhau hơn thời gian tạo kết nối. Đóng gói công việc sau cấu hình như một lệnh cấp phát đã được phê duyệt với ngữ cảnh thực thi được khai báo, và để công cụ cấp phát sắp xếp nó thay vì chèn một độ trễ đoán chừng. Một giấc ngủ đủ dài trên phần cứng kiểm thử của bạn là một điều kiện tranh chấp kèm theo độ trễ. Ghi lại sự phụ thuộc, không phải thời lượng.

Các trường Configuration Designer được ghi tài liệu mô tả một cài đặt VPN và không phơi bày mọi điều khiển IPsec gốc. Nếu yêu cầu là phân phối được quản lý, nhà cung cấp dịch vụ cấu hình VPNv2 có một mục bộ mật mã đúng cho mục đích này.

Chỉ định một chủ sở hữu duy nhất cho chính sách

Một bản cập nhật hồ sơ quản lý sau này có thể tạo lại kết nối và thay thế những gì một tập lệnh đã áp dụng, và việc thay thế sẽ trông giống một sự thoái lui. Quyết định xem bộ này thuộc về hồ sơ, một tập lệnh hay kênh quản lý, và khiến các bản cập nhật thường lệ đi theo cùng con đường như lần cài đặt đầu tiên.

Hai chủ sở hữu cũng như không có ai khi hai bên không đồng ý. Viết tên chủ sở hữu vào bản ghi thay đổi của hồ sơ. Bản cập nhật tiếp theo sẽ theo những gì bản ghi đó nói.

Kiểm chứng kết quả đã thương lượng, không phải gói

Đọc hồ sơ đã lưu và phạm vi của nó, sau đó thiết lập một kết nối mới và so sánh các đề xuất được chọn tại cổng. Xác nhận cả hành vi tái tạo khóa, vì một lần bắt tay ban đầu có thể thành công với bộ mà một giai đoạn sau từ chối.

Get-VpnConnection -Name 'Corp IKEv2' -AllUserConnection | Format-List
Get-ChildItem 'C:\ProgramData\Microsoft\Network\Connections\Pbk' | Select-Object Name, LastWriteTime

Ba kết quả chấp nhận không phải cùng một sự kiện: gói đã được cài đặt, hồ sơ tồn tại với chính sách dự định, và các bên đã thương lượng nó. Giữ chúng tách biệt, để một trường thiếu không bao giờ được sửa bằng cách làm yếu xác thực hoặc bật một phương án dự phòng mà không ai chọn.

Bài viết liên quan