Скрыпт профілю Azure P2S VPN для кожнага карыстальніка Windows

Add-VpnConnection выдае памылку EapConfigXmlStream, калі перамыкачам перадаюць лагічныя значэнні. Выпраўце ахоп і адсутны маршрут перад разгортваннем на парк.

Раздача пакета Azure «пункт-да-сайта» працуе для пяці ноўтбукаў і развальваецца на пяцідзесяці. Скрыптавы шлях мае дзве пасткі, кожная з якіх каштуе паўдня: памылка параметра, якая выглядае як збой сертыфіката, і маршрут, які злучэнне ніколі не ўсталёўвае, нават калі ўсё астатняе правільна. Ні адна з іх не выпраўляецца паўторным спампоўваннем кліенцкага пакета. Выконвайце праверкі ніжэй па парадку і спыніцеся на першай, якая не прайшла.

Я трымаю парадак нязменным, бо кожны крок мяркуе, што папярэдні праўдзівы.

1. Выпраўце ахоп профілю да першай прылады

Профіль для ўсіх карыстальнікаў жыве на машыне і паказваецца ў кожнай сесіі. Профіль асобнага карыстальніка прытрымліваецца аднаго ўліковага запісу і трымае яго ўліковыя даныя ў кантэксце гэтага запісу. Выберыце адзін і трымайцеся яго, бо машына з абодвума паказвае два запісы з адной назвай, і карыстальнікі падключаюцца да таго, што з'явіцца першым. Змяніць ахоп пазней азначае спачатку выдаліць стары профіль, а не рэдагаваць яго на месцы.

Профілі для ўсіх карыстальнікаў падыходзяць для супольных прылад і кіёскаў, дзе ніхто не ўваходзіць з асабістым запісам. Яны — няправільная ўстаўка па змаўчанні, калі сертыфікат выдаецца на чалавека, бо профіль на ўзроўні машыны не можа прад'явіць уліковыя даныя, якія належаць камусьці іншаму. Запішыце выбар у запіс разгортвання, перш чым з'явіцца другі ноўтбук.

2. Перадавайце перамыкачы як перамыкачы

Add-VpnConnection прымае параметры-перамыкачы, якія або прысутнічаюць, або адсутнічаюць. Перадача $true ім выклікае памылку EapConfigXmlStream, таму многія абмеркаванні гэтага сканчаюцца праверкай ланцугоў сертыфікатаў, якія ніколі не былі праблемай.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Адрас шлюза вышэй — прыклад; вазьміце сапраўдны з спампаванага пакета і трымайце яго ў лапках. -AllUserConnection патрабуе павышанай сесіі, і створаны профіль мае ахоп машыны, нават калі вы выканалі каманду як адміністратар. Прачытайце набор параметраў праз Get-Help Add-VpnConnection -Parameter *, перш чым дадаваць новыя перамыкачы.

3. Дадайце маршрут, які адаптар не дадае

Адаптар «пункт-да-сайта» ўсталёўвае маршрут для пула адрасоў кліента і болей нічога.

Прэфікс віртуальнай сеткі па-за гэтым пулам застаецца недасяжным, пакуль тунель па-ранейшаму паведамляе Connected, і гэта самы заблытаны збой у гэтым працоўным працэсе. Дадайце маршрут яўна пасля паспяховага злучэння і накіруйце яго на адрас інтэрфейса, які атрымаў адаптар, а не на публічнае імя шлюза. Гэты адрас бярэцца з ipconfig пасля падключэння і змяняецца паміж сесіямі.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Выдаляйце маршрут пры адключэнні, каб састарэлы наступны хоп не зрабіў пазней трафік чорнай дзірай. Разглядайце каманду як дакументаванае лакальнае адхіленне: калі будучы выпуск кліента сам дадасць маршрут, ваш радок стане дублікатам, які спаборнічае з уласным наступным хопам пакета.

4. Правярайце як звычайны карыстальнік

Сесія адміністратара хавае памылкі ахопу, бо павышэнне часам дае ўліковыя даныя, якіх сапраўдны карыстальнік не меў бы.

Увайдзіце як неадміністратар, падключыцеся праз профіль і праверце адну прыватную службу замест публічнага інтэрнэту. Пераканайцеся, што профіль з'яўляецца ў Get-VpnConnection -AllUserConnection, што стан дасягае Connected і што дададзены маршрут паказвае на бягучы адрас адаптара. Затым перавядзіце машыну ў сон, разбудзіце яе і зноў параўнайце ipconfig.

5. Прыбірайце дрэннае разгортванне акуратна

Remove-VpnConnection з -AllUserConnection і -Force выдаляе профіль на ўзроўні машыны. Force важны, бо падключаны профіль інакш адмаўляецца ад выдалення, а паўвыдалены профіль дыягнаставаць цяжэй, чым чыстую пераўстаноўку.

Трымайце назву профілю, адрас шлюза і дададзеныя маршруты ў нататках разгортвання. Гэтыя тры значэнні патрэбныя званку ў службу падтрымкі, перш чым хтосьці адкрые заяўку, і яны ж патрэбныя наступнаму скрыпту, калі адрас шлюза зменіцца. Дадайце версію кліенцкага пакета ў тую ж нататку, бо паводзіны маршруту належаць гэтаму пакету, а не Windows.

Падобныя артыкулы