Izradite IKEv2 VPN u PowerShellu s certifikatom uređaja

Windows dolazi s IKEv2 klijentom kojim PowerShell upravlja od početka do kraja, pa ispravan tunel ne treba ni GUI ni softver treće strane. Gotovo svaki neuspjeh dolazi s tri mjesta: gdje je certifikat završio, kako su zapisani prefiksi ruta i što odabrana EAP metoda očekuje. Riješite ih tim redom, jer se svaki može provjeriti prije nego počne sljedeći, a kasnija greška će maskirati raniju.

Tuneli s certifikatom uređaja postoje kako bi se pokrenuli prije nego se bilo ko prijavi, zato identitet obično mora živjeti u spremištu računara, a ne korisnika.

Prvo certifikat, pa tunel

Bitna su dva uvoza. Identitet klijenta ide u Cert:\LocalMachine\My putem Import-PfxCertificate, a izdavački CA ide u Cert:\LocalMachine\Root putem Import-Certificate. Sam lisni certifikat ne dokazuje nikakav lanac, pa preskakanje drugog uvoza ostavlja provjeru bez osnove. Osim prisutnosti, privatni ključ mora biti pridružen i računarskom računu mora biti dopušteno da ga čita. Get-ChildItem Cert:\LocalMachine\My navodi šta je stiglo; upoređujte otiske, a ne subjekte, jer su gotovo identični subjekti česti.

Provjerite proširenu namjenu ključa prije primjene. Autentifikacija klijenta uobičajen je zahtjev za IKEv2 identitet uređaja, a druga strana mora vjerovati CA koji ga je potpisao. Identitet u korisničkom spremištu ne postoji za vezu u kontekstu računara.

Kreirajte profil i njegove rute

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection zapisuje profil. Prekidač -AllUserConnection objavljuje ga u globalnom imeniku, što odgovara dijeljenom ili servisno vođenom računaru; izostavite ga za jednog korisnika. Koju god adresu proslijedite, mora odgovarati DNS imenu u certifikatu servera, inače se greška pojavljuje nakon što je tunel već podignut. Prefiksi se zatim dodaju jedan po jedan pomoću Add-VpnConnectionRoute, i to samo oni koji su dizajnu zaista potrebni.

IPv6 ima osobitost: Windows odbija ::/0 kao VPN rutu, pa ::/1 i 8000::/1 zajedno pokrivaju isti adresni prostor. Usmjeravanje prefiksa također ne daje ništa na udaljenom firewallu, pa popis prefiksa i pravila firewalla ostaju odvojeni dokumenti.

Vjerodajnice pripadaju metodi autentifikacije

Profil s certifikatom uređaja uopće ne treba korisničku tajnu, dok profil EAP-MSCHAPv2 treba. Za drugi slučaj modul VPNCredentialsHelper pruža Set-VpnConnectionUsernamePassword i traži običan tekst: $cred.Password je SecureString, pa ga prvo raspakujte pomoću GetNetworkCredential().Password. Instalirajte modul gdje god se naredba izvršava, ne samo na radnoj stanici na kojoj je sastavljena. EAP-TLS ili prilagođena metoda uopće ne koristi ovaj cmdlet; umjesto toga prima EAP konfiguracijski XML.

rasdial "Office IKEv2" podiže vezu iz ljuske, što je najbrži način da rezultat vidite u prvom planu, a ne u zapisniku događaja.

Šta povezani tunel ne dokazuje

Status povezanosti pokriva IKE razmjenu i korak autentifikacije i ništa iznad toga. Ponašanje DNS-a, put do privatnog hosta i udaljeni firewall još su nedokazani. Radite prema van: adapter tunela, zatim traženje rute za privatnu adresu, zatim jedna usluga koju smijete koristiti. Prvo opažanje koje padne označava sloj koji treba istražiti.

Kada mijenjate profil, obrišite prethodni pomoću Remove-VpnConnection -Name "Office IKEv2" -Force prije nego ga ponovo kreirate; inače zastarjele postavke i rute ostaju kroz izmjenu. Ako se i dalje ne povezuje, uporedite otisak zapisan u profilu s onim koji je u spremištu, jer Windows može držati referencu na identitet koji je u međuvremenu zamijenjen pod nepromijenjenim subjektom.

Držite otisak, EAP metodu i popis ruta uz profil. Zajedno objašnjavaju većinu onoga što kasnije pođe po zlu.