Creeu una VPN IKEv2 a PowerShell amb un certificat de màquina

Windows inclou un client IKEv2 que PowerShell controla de dalt a baix, així que un túnel funcional no necessita ni interfície gràfica ni programari de tercers. Gairebé tots els errors provenen de tres llocs: on ha acabat el certificat, com s'han escrit els prefixos de ruta i què espera el mètode EAP triat. Abordeu-los en aquest ordre, perquè cada un és verificable abans que comenci el següent i un error posterior amagarà un d'anterior.

Els túnels amb certificat de màquina existeixen per arrencar abans que ningú iniciï sessió, i per això la identitat normalment ha de viure al magatzem de l'ordinador i no al de l'usuari.

Primer el certificat, després el túnel

Dues importacions són importants. La identitat del client va a Cert:\LocalMachine\My mitjançant Import-PfxCertificate, i l'entitat emissora CA va a Cert:\LocalMachine\Root mitjançant Import-Certificate. Un certificat full sol no demostra cap cadena, així que saltar-se la segona importació deixa la verificació sense res on construir. Més enllà de la presència, la clau privada ha d'estar adjunta i el compte d'ordinador ha de poder llegir-la. Get-ChildItem Cert:\LocalMachine\My llista què ha arribat; compareu empremtes en lloc de subjectes, perquè els subjectes gairebé idèntics són habituals.

Comproveu l'ús estès de la clau abans de desplegar. L'autenticació de client és el requisit habitual per a una identitat de màquina IKEv2, i l'altre costat ha de confiar en la CA que la va signar. Una identitat al magatzem de l'usuari no existeix per a una connexió en context d'ordinador.

Creeu el perfil i les seves rutes

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection escriu el perfil. L'interruptor -AllUserConnection el publica a la llibreta de telèfons global, adequat per a una màquina compartida o gestionada com a servei; traieu-lo per a un sol usuari. Qualsevol adreça que passeu ha de coincidir amb el nom DNS del certificat del servidor, si no, l'error apareix quan el túnel ja està aixecat. Després s'afegeixen els prefixos un a un amb Add-VpnConnectionRoute, i només els que el disseny necessita de veritat.

IPv6 té una peculiaritat: Windows refusa ::/0 com a ruta VPN, així que ::/1 i 8000::/1 junts cobreixen el mateix espai d'adreces. Enrutar un prefix tampoc no concedeix res al tallafoc remot, així que la llista de prefixos i la política del tallafoc continuen sent documents separats.

Les credencials pertanyen al mètode d'autenticació

Un perfil amb certificat de màquina no necessita cap secret d'usuari, mentre que un perfil EAP-MSCHAPv2 sí. En el segon cas el mòdul VPNCredentialsHelper proporciona Set-VpnConnectionUsernamePassword, i vol text pla: $cred.Password és un SecureString, així que desembeineu-lo primer amb GetNetworkCredential().Password. Instal·leu el mòdul allà on s'executi l'ordre, no només a l'estació on es va redactar. EAP-TLS o un mètode personalitzat no fan servir aquesta ordre; en canvi, prenen un XML de configuració EAP.

rasdial "Office IKEv2" aixeca la connexió des d'un intèrpret, que és la manera més ràpida de veure el resultat en primer pla i no en un registre d'esdeveniments.

Què no demostra un túnel connectat

L'estat de connectat cobreix l'intercanvi IKE i el pas d'autenticació, i res més enllà. El comportament de DNS, el camí fins a un host privat i el tallafoc remot encara no estan demostrats. Treballeu cap enfora: l'adaptador del túnel, després una consulta de ruta per a una adreça privada, després un servei que tingueu permès. La primera observació que falla assenyala la capa que cal investigar.

Quan canvieu un perfil, suprimiu el previ amb Remove-VpnConnection -Name "Office IKEv2" -Force abans de tornar-lo a crear; si no, la configuració i les rutes antigues persisteixen després de l'edició. Si encara no es connecta, compareu l'empremta enregistrada al perfil amb la present al magatzem, perquè Windows pot mantenir una referència a una identitat que mentrestant s'ha substituït sota un subjecte inalterat.

Tingueu l'empremta, el mètode EAP i la llista de rutes al costat del perfil. Junts expliquen la major part del que falla més endavant.