Come configurare le impostazioni di crittografia per le connessioni VPN IKEv2

Nelle connessioni VPN IKEv2 l'impostazione predefinita per le impostazioni di crittografia IKEv2 è:

• Algoritmo di crittografia: DES3
• Integrità, Algoritmo hash: SHA1
• Gruppo Diffie Hellman (dimensioni chiave): DH2

Queste impostazioni non sono sicure per gli scambi IKE.

Per proteggere le connessioni, aggiorna la configurazione di client e server VPN eseguendo i cmdlet VPN.

Server VPN

Per i server VPN che eseguono Windows Server 2012 R2 o versioni successive, è necessario eseguire Set-VpnServerConfiguration per configurare il tipo di tunnel. Queste impostazioni sono valide per tutte le connessioni VPN IKEv2.

Set-VpnServerConfiguration -TunnelType IKEv2 -CustomPolicy

In una versione precedente di Windows Server eseguire Set-VpnServerIPsecConfiguration. Poiché Set-VpnServerIPsecConfiguration non dispone -TunnelTypedi , la configurazione si applica a tutti i tipi di tunnel nel server.

Set-VpnServerIPsecConfiguration -CustomPolicy

Client VPN

Per i client VPN, è necessario configurare ogni connessione VPN. Ad esempio, esegui Set-VpnConnectionIPsecConfiguration (versione 4.0) e specifica il nome della connessione:

Set-VpnConnectionIPsecConfiguration -ConnectionName <String>

Esempio di impostazioni di crittografia IKEv2

I comandi seguenti configurano le impostazioni di crittografia IKEv2 in:

• Algoritmo di crittografia: AES128
• Integrità, algoritmo hash: SHA256
• Diffie Hellman Group (Key Size): DH14

IKEv2 VPN Server

Set-VpnServerConfiguration -TunnelType IKEv2 -CustomPolicy -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES128 -DHGroup Group14 -EncryptionMethod AES128 -IntegrityCheckMethod SHA256 -PFSgroup PFS2048 -SALifeTimeSeconds 28800 -MMSALifeTimeSeconds 86400 -SADataSizeForRenegotiationKilobytes 1024000
restart-service RemoteAccess -PassThru

Se è necessario tornare alle impostazioni IKEv2 predefinite, usare questo comando:

Set-VpnServerConfiguration -TunnelType IKEv2 -RevertToDefault
restart-service RemoteAccess -PassThru

IKEv2 VPN Client

Set-VpnConnectionIPsecConfiguration -ConnectionName <String - your VPN connection name> -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES128 -DHGroup Group14 -EncryptionMethod AES128 -IntegrityCheckMethod SHA256 -PfsGroup PFS2048 -Force

Se è necessario tornare alle impostazioni IKEv2 predefinite, usare questo comando:

Set-VpnConnectionIPsecConfiguration -ConnectionName <String - your VPN connection name> -RevertToDefault -Force

Suggerimento

Se si sta configurando una connessione VPN per tutti gli utenti o un tunnel del dispositivo, è necessario usare il -AllUserConnection parametro nel Set-VpnConnectionIPsecConfiguration comando .