Скрипт за профил на Azure P2S VPN за всеки потребител на Windows

Add-VpnConnection дава грешка EapConfigXmlStream, когато на превключвателите се подадат булеви стойности. Коригирайте обхвата и липсващия маршрут, преди да внедрите в парк.

Раздаването на пакет Azure „точка към сайт“ работи за пет лаптопа и се разпада при петдесет. Скриптовият път има два капана, всеки от които струва по един следобед: грешка в параметър, която изглежда като отказ на сертификат, и маршрут, който връзката така и не инсталира, дори когато всичко останало е наред. Нито едно от двете не се оправя с повторно изтегляне на клиентския пакет. Изпълнете проверките по-долу по ред и спрете на първата, която се провали.

Държа реда фиксиран, защото всяка стъпка предполага, че предишната е вярна.

1. Коригирайте обхвата на профила преди първото устройство

Профил за всички потребители живее на машината и се появява във всяка сесия. Профилът за отделен потребител следва един акаунт и пази идентификационните му данни в контекста на този акаунт. Изберете един и се придържайте към него, защото машина с двата показва два записа с едно и също име и потребителите се свързват с този, който се появи пръв. Смяната на обхвата по-късно означава първо да премахнете стария профил, а не да го редактирате на място.

Профилите за всички потребители подхождат на споделени устройства и устройства в инфокиоск, където никой не влиза с личен акаунт. Те са грешната настройка по подразбиране, когато сертификатът се издава на човек, защото профил на ниво машина не може да представи идентификационни данни, които принадлежат на някой друг. Запишете избора в записа за внедряване, преди да съществува вторият лаптоп.

2. Подавайте превключвателите като превключватели

Add-VpnConnection приема параметри-превключватели, които или присъстват, или липсват. Подаването на $true към тях вдига грешка EapConfigXmlStream, поради което толкова много обсъждания по темата завършват с проверка на сертификатни вериги, които никога не са били проблемът.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Адресът на шлюза по-горе е примерен; вземете истинския от изтегления пакет и го дръжте в кавички. -AllUserConnection изисква повишена сесия, а профилът, който създава, е с обхват на машината, дори когато сте изпълнили командата като администратор. Прочетете набора от параметри с Get-Help Add-VpnConnection -Parameter *, преди да добавите още превключватели.

3. Добавете маршрута, който адаптерът не добавя

Адаптерът точка към сайт инсталира маршрут за пула от адреси на клиента и нищо друго.

Префикс на виртуална мрежа извън този пул остава недостъпен, докато тунелът все още съобщава Connected, което е най-объркващият отказ в този работен процес. Добавете маршрута изрично, след като връзката успее, и го насочете към адреса на интерфейса, който адаптерът е получил, а не към публичното име на шлюза. Този адрес идва от ipconfig след свързване и се променя между сесиите.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Изтрийте маршрута при прекъсване, за да не може остарял следващ хоп по-късно да превърне трафика в черна дупка. Отнасяйте се към командата като документирано локално отклонение: ако бъдещо издание на клиента добави маршрута само, вашият ред става дубликат, който се състезава със собствения следващ хоп на пакета.

4. Проверете като стандартен потребител

Администраторската сесия скрива грешки в обхвата, защото повишаването понякога предоставя идентификационни данни, които истинският потребител не би имал.

Влезте като неадминистратор, свържете се през профила и тествайте една частна услуга вместо обществения интернет. Потвърдете, че профилът се появява в Get-VpnConnection -AllUserConnection, че състоянието стига до Connected и че добавеният маршрут сочи към текущия адрес на адаптера. След това приспете машината, събудете я и сравнете ipconfig отново.

5. Премахнете лошо внедряване чисто

Remove-VpnConnection с -AllUserConnection и -Force изтрива профила на ниво машина. Force е важен, защото свързан профил иначе отказва премахване, а наполовина премахнат профил се диагностицира по-трудно от чиста преинсталация.

Пазете името на профила, адреса на шлюза и добавените маршрути в бележките за внедряване. Тези три стойности са това, което е нужно на обаждане до поддръжката, преди някой да отвори билет, и те са също нужното на следващия скрипт, когато адресът на шлюза се промени. Добавете версията на клиентския пакет към същата бележка, защото поведението на маршрута принадлежи на този пакет, а не на Windows.

Подобни статии