PowerShell-də maşın sertifikatı ilə IKEv2 VPN qurun

Windows PowerShell ilə başdan sona idarə olunan IKEv2 müştərisi ilə gəlir, ona görə də işləyən tunel üçün nə GUI, nə də üçüncü tərəf proqram təminatı lazımdır. Demək olar ki, hər uğursuzluq üç yerdən gəlir: sertifikatın hara düşdüyü, marşrut prefikslərinin necə yazıldığı və seçilmiş EAP metodunun nə gözlədiyi. Onları bu ardıcıllıqla həll edin, çünki hər biri növbətisi başlamazdan əvvəl yoxlanıla bilər və sonrakı xəta əvvəlkini gizlədəcək.

Maşın sertifikatı tunelləri hər hansı girişdən əvvəl başlamaq üçün mövcuddur, buna görə də kimlik adətən istifadəçinin deyil, kompüterin anbarında yaşamalıdır.

Əvvəlcə sertifikat, sonra tunel

İki idxal vacibdir. Müştəri kimliyi Import-PfxCertificate vasitəsilə Cert:\LocalMachine\My-ə gedir, imza edən CA isə Import-Certificate vasitəsilə Cert:\LocalMachine\Root-yə gedir. Tək bir son sertifikat heç bir zəncir sübut etmir, ona görə də ikinci idxalı atlamaq yoxlamanı dayanacaq bir şey olmadan qoyur. Mövcudluqdan əlavə, şəxsi açar əlavə edilməli və kompüter hesabına onu oxumaq icazəsi verilməlidir. Get-ChildItem Cert:\LocalMachine\My gələnləri sadalayır; subyektləri deyil, barmaq izlərini müqayisə edin, çünki demək olar ki, eyni subyektlər tez-tez olur.

Yerləşdirməzdən əvvəl genişləndirilmiş açar istifadəsini yoxlayın. Müştəri autentifikasiyası IKEv2 maşın kimliyi üçün adi tələbdir və qarşı tərəf onu imzalayan CA-ya etibar etməlidir. İstifadəçi anbarında olan kimlik kompüter kontekstli bağlantı üçün mövcud deyil.

Profili və onun marşrutlarını yaradın

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection profili yazır. -AllUserConnection açarı onu qlobal telefon kitabçasında yayımlayır, paylaşılan və ya xidmətlə idarə olunan qutu üçün uyğundur; tək istifadəçi üçün onu buraxın. Ötürdüyünüz ünvan mütləq serverin sertifikatındakı DNS adı ilə uyğun gəlməlidir, əks halda xəta tunel artıq qalxdıqdan sonra görünür. Sonra prefikslər Add-VpnConnectionRoute ilə bir-bir əlavə olunur və yalnız dizaynın həqiqətən ehtiyac duyduğu prefikslər.

IPv6-nın bir qəribəliyi var: Windows ::/0-i VPN marşrutu kimi qəbul etmir, ona görə də ::/1 və 8000::/1 birlikdə eyni ünvan məkanını əhatə edir. Prefiksi marşrutlaşdırmaq uzaq firewall-da heç nə vermir, ona görə də prefiks siyahısı və firewall siyasəti ayrı sənədlər olaraq qalır.

Məlumatlar autentifikasiya metoduna aiddir

Maşın sertifikatı profili ümumiyyətlə istifadəçi sirri tələb etmir, EAP-MSCHAPv2 profili isə tələb edir. İkinci halda VPNCredentialsHelper modulu Set-VpnConnectionUsernamePassword-ni təqdim edir və düz mətn istəyir: $cred.Password SecureString-dir, ona görə əvvəlcə GetNetworkCredential().Password ilə onu açın. Modulu əmrin işlədiyi hər yerdə quraşdırın, yalnız hazırlandığı iş stansiyasında deyil. EAP-TLS və ya fərdi metod bu cmdlet-dən ümumiyyətlə istifadə etmir; əvəzində EAP konfiqurasiyası XML-i alır.

rasdial "Office IKEv2" bağlantını shell-dən qaldırır və bu, nəticəni hadisə jurnalında deyil, ön planda görməyin ən sürətli yoludur.

Bağlı tunelin sübut etmədiyi şeylər

Bağlı statusu IKE mübadiləsini və autentifikasiya addımını əhatə edir, onlardan başqa heç nəyi. DNS davranışı, şəxsi hosta gedən yol və uzaq firewall hələ də sübut olunmayıb. Xaricə doğru işləyin: tunel adapteri, sonra şəxsi ünvan üçün marşrut axtarışı, sonra istifadə etməyə icazəniz olan bir xidmət. Uğursuz olan ilk müşahidə araşdırılmalı təbəqəni göstərir.

Profili dəyişəndə əvvəlkini Remove-VpnConnection -Name "Office IKEv2" -Force ilə silin, sonra onu yenidən yaradın; əks halda köhnə parametrlər və marşrutlar düzəlişdən keçib qalır. Hələ də qoşulmursa, profildə qeyd olunan barmaq izini anbarda mövcud olanla müqayisə edin, çünki Windows dəyişməmiş subyekt altında sonradan əvəz edilmiş kimliyə istinad saxlaya bilər.

Barmaq izini, EAP metodunu və marşrut siyahısını profilin yanında saxlayın. Birlikdə sonradan yanlış gedən şeylərin çoxunu izah edirlər.