Skriptirajte Azure P2S VPN profil za svakog Windows korisnika

Dijeljenje Azure point-to-site paketa radi za pet laptopa, a raspada se na pedeset. Skriptirana putanja ima dvije zamke od kojih svaka košta jedno poslijepodne: grešku u parametru koja izgleda kao otkaz certifikata i rutu koju veza nikada ne instalira, čak i kada je sve ostalo ispravno. Nijedna se ne rješava ponovnim preuzimanjem klijentskog paketa. Izvedite provjere ispod redom i zaustavite se na prvoj koja padne.

Redoslijed držim fiksnim jer svaki korak pretpostavlja da je prethodni tačan.

1. Popravite opseg profila prije prvog uređaja

Profil za sve korisnike živi na mašini i pojavljuje se u svakoj sesiji. Profil po korisniku prati jedan račun i čuva njegove vjerodajnice u kontekstu tog računa. Odaberite jedan i ostanite pri njemu, jer mašina s oba prikazuje dva unosa s istim imenom, a korisnici se povezuju na onaj koji se pojavi prvi. Promjena opsega kasnije znači prvo ukloniti stari profil, umjesto da ga uređujete na licu mjesta.

Profili za sve korisnike odgovaraju dijeljenim i kiosk uređajima gdje se nitko ne prijavljuje osobnim računom. Oni su pogrešan zadani izbor kada se certifikat izdaje po osobi, jer profil na razini mašine ne može predstaviti vjerodajnicu koja pripada nekome drugom. Zapišite izbor u zapis o uvođenju prije nego što postoji drugi laptop.

2. Predajte prekidače kao prekidače

Add-VpnConnection prima parametre prekidača koji ili postoje ili ne postoje. Predaja $true na njih podiže grešku EapConfigXmlStream, zbog čega toliko rasprava o tome završi pregledom lanaca certifikata koji nikada nisu bili problem.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Adresa pristupnika iznad je ilustrativna; uzmite pravu iz preuzetog paketa i držite je pod navodnicima. -AllUserConnection zahtijeva povišenu sesiju, a profil koji stvara ima opseg mašine čak i kada ste naredbu izvršili kao administrator. Pročitajte skup parametara pomoću Get-Help Add-VpnConnection -Parameter * prije nego što dodate još prekidača.

3. Dodajte rutu koju adapter ne dodaje

Point-to-site adapter instalira rutu za pul adresa klijenta i ništa drugo.

Prefiks virtualne mreže izvan tog pula ostaje nedostupan dok tunel još izvještava Connected, što je najzbunjujući otkaz u ovom toku rada. Dodajte rutu eksplicitno nakon što veza uspije i usmjerite je na adresu sučelja koju je adapter dobio, a ne na javno ime pristupnika. Ta adresa dolazi iz ipconfiga nakon povezivanja i mijenja se između sesija.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Izbrišite rutu pri odspajanju kako zastarjeli sljedeći skok ne bi kasnije pretvorio promet u crnu rupu. Tretirajte naredbu kao dokumentirano lokalno odstupanje: ako buduće izdanje klijenta samo doda rutu, vaš red postaje duplikat koji se natječe s vlastitim sljedećim skokom paketa.

4. Provjerite kao standardni korisnik

Administratorska sesija skriva greške opsega, jer povišenje ponekad osigura vjerodajnicu koju pravi korisnik ne bi imao.

Prijavite se kao neadministrator, povežite se kroz profil i testirajte jednu privatnu uslugu umjesto javnog interneta. Potvrdite da se profil pojavljuje u Get-VpnConnection -AllUserConnection, da stanje dosegne Connected i da vaša dodana ruta pokazuje na trenutnu adresu adaptera. Zatim uspavajte mašinu, probudite je i ponovo uporedite ipconfig.

5. Uklonite loše uvođenje čisto

Remove-VpnConnection s -AllUserConnection i -Force briše profil na razini mašine. Force je važan jer povezani profil inače odbija uklanjanje, a pola uklonjen profil teže je dijagnosticirati od čiste ponovne instalacije.

Držite ime profila, adresu pristupnika i dodane rute u bilješkama o uvođenju. Te tri vrijednosti su ono što poziv službi podrške treba prije nego što bilo ko otvori tiket, a također su ono što sljedeća skripta treba kada se adresa pristupnika promijeni. Dodajte verziju klijentskog paketa u istu bilješku, jer ponašanje rute pripada tom paketu, a ne Windowsu.