Стварэнне VPN IKEv2 у PowerShell з сертыфікатам камп'ютара

Windows пастаўляе кліент IKEv2, якім PowerShell кіруе цалкам, таму працоўны тунель не патрабуе ні графічнага інтэрфейсу, ні старонняга праграмнага забеспячэння. Амаль кожная няўдача паходзіць з трох месцаў: дзе апынуўся сертыфікат, як запісаны прэфіксы маршрутаў і чаго чакае выбраны метад EAP. Разбірайцеся з імі ў гэтым парадку, бо кожны можна праверыць да пачатку наступнага, а пазнейшая памылка замаскіруе ранейшую.

Тунелі з сертыфікатам камп'ютара існуюць, каб запускацца да чыйго-небудзь уваходу, таму ідэнтычнасць звычайна павінна жыць у сховішчы камп'ютара, а не карыстальніка.

Спачатку сертыфікат, потым тунель

Важныя два імпарты. Ідэнтычнасць кліента трапляе ў Cert:\LocalMachine\My праз Import-PfxCertificate, а цэнтр сертыфікацыі, што выдаў, — у Cert:\LocalMachine\Root праз Import-Certificate. Канцавы сертыфікат сам па сабе не даказвае ланцуг, таму прапуск другога імпарту пакідае праверку без падмурка. Акрамя наяўнасці, прыватны ключ павінен быць далучаны, а ўліковы запіс камп'ютара — мець права чытання. Get-ChildItem Cert:\LocalMachine\My пералічвае тое, што прыбыло; параўноўвайце адбіткі, а не суб'екты, бо амаль аднолькавыя суб'екты — звычайная справа.

Праверце пашыранае выкарыстанне ключа перад разгортваннем. Аўтэнтыфікацыя кліента — звычайная патрабаванне для ідэнтычнасці камп'ютара IKEv2, і іншы бок павінен давяраць цэнтру, які яе падпісаў. Ідэнтычнасць у сховішчы карыстальніка не існуе для злучэння ў кантэксце камп'ютара.

Стварыце профіль і яго маршруты

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection запісвае профіль. Перамыкач -AllUserConnection публікуе яго ў глабальнай адраснай кнізе, што падыходзіць для агульнай або кіраванай сэрвісам машыны; прыбярыце яго для аднаго карыстальніка. Любы адрас, які вы перадаяце, павінен адпавядаць DNS-імені ў сертыфікаце сервера, інакш памылка з'явіцца пасля таго, як тунель ужо ўзняты. Затым прэфіксы дадаюцца па адным з дапамогай Add-VpnConnectionRoute, і толькі тыя, якія сапраўды патрэбны праекту.

IPv6 мае дзівацтва: Windows адмаўляецца ад ::/0 як маршруту VPN, таму ::/1 і 8000::/1 разам пакрываюць тую ж адрасную прастору. Маршрутызацыя прэфікса таксама нічога не дае на аддаленым фаерволе, таму спіс прэфіксаў і палітыка фаервала застаюцца асобнымі дакументамі.

Уліковыя даныя належаць метаду аўтэнтыфікацыі

Профіль з сертыфікатам камп'ютара зусім не патрабуе карыстальніцкага сакрэту, а профіль EAP-MSCHAPv2 — патрабуе. Для другога выпадку модуль VPNCredentialsHelper дае Set-VpnConnectionUsernamePassword, і яму патрэбен звычайны тэкст: $cred.Password — гэта SecureString, таму спачатку разгарніце яго праз GetNetworkCredential().Password. Устанаўлівайце модуль усюды, дзе выконваецца каманда, а не толькі на працоўнай станцыі, дзе яна стваралася. EAP-TLS або ўласны метад зусім не выкарыстоўвае гэты камандлет; ён прымае XML-канфігурацыю EAP.

rasdial "Office IKEv2" узнімае злучэнне з абалонкі, і гэта найхутчэйшы спосаб убачыць вынік на пярэднім плане, а не ў журнале падзей.

Чаго не даказвае падключаны тунель

Статус падключэння ахоплівае абмен IKE і крок аўтэнтыфікацыі і нічога звыш гэтага. Паводзіны DNS, шлях да прыватнага хоста і аддалены фаервал — усё яшчэ не даказаныя. Рухайцеся вонкі: адаптар тунеля, затым пошук маршруту для прыватнага адраса, затым адна паслуга, на якую ў вас ёсць права. Першае назіранне, якое правалілася, паказвае ўзровень для даследавання.

Калі вы змяняеце профіль, выдаліце папярэдні з дапамогай Remove-VpnConnection -Name "Office IKEv2" -Force перад яго перастварэннем; інакш састарэлыя налады і маршруты застануцца пасля правак. Калі ён усё яшчэ не падключаецца, параўнайце адбітак, запісаны ў профілі, з тым, што ёсць у сховішчы, бо Windows можа трымаць спасылку на ідэнтычнасць, якая тым часам была заменена пад нязменным суб'ектам.

Трымайце адбітак, метад EAP і спіс маршрутаў побач з профілем. Разам яны тлумачаць большасць таго, што пойдзе не так пазней.