Scripta un perfil de VPN P2S d'Azure per a cada usuari de Windows

Repartir un paquet punt a lloc d'Azure funciona amb cinc portàtils i s'ensorra amb cinquanta. El camí amb script té dues trampes que costen una tarda cadascuna: un error de paràmetre que sembla una fallada de certificat, i una ruta que la connexió no instal·la mai encara que la resta estigui bé. Cap de les dues es corregeix tornant a baixar el paquet de client. Fes les comprovacions següents en ordre i atura't a la primera que falli.

Mantinc l'ordre fix perquè cada pas assumeix que l'anterior és cert.

1. Corregeix l'abast del perfil abans del primer dispositiu

Un perfil per a tots els usuaris viu a la màquina i apareix a totes les sessions. Un perfil per usuari segueix un compte i guarda les seves credencials en el context d'aquell compte. Tria un i queda-t'hi, perquè una màquina amb tots dos mostra dues entrades amb el mateix nom, i els usuaris es connecten a la que apareix primer. Canviar d'abast més endavant vol dir eliminar primer el perfil antic en lloc d'editar-lo al lloc.

Els perfils per a tots els usuaris van bé per a dispositius compartits i de quiosc on ningú inicia sessió amb un compte personal. Són el valor per defecte incorrecte quan el certificat s'emet per persona, perquè un perfil d'àmbit de màquina no pot presentar una credencial que pertany a algú altre. Escriu l'elecció al registre de desplegament abans que existeixi el segon portàtil.

2. Passa els commutadors com a commutadors

Add-VpnConnection pren paràmetres de commutador que o hi són o no hi són. Passar-hi $true provoca un error EapConfigXmlStream, i per això tants fils sobre això acaben inspeccionant cadenes de certificats que mai no eren el problema.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

L'adreça de la passarel·la de dalt és il·lustrativa; agafa la real del paquet baixat i mantingues-la entre cometes. -AllUserConnection requereix una sessió elevada, i el perfil que crea té abast de màquina encara que hagis executat l'ordre com a administrador. Llegeix el conjunt de paràmetres amb Get-Help Add-VpnConnection -Parameter * abans d'afegir més commutadors.

3. Afegeix la ruta que l'adaptador no afegeix

L'adaptador punt a lloc instal·la una ruta per al grup d'adreces del client i res més.

Un prefix de xarxa virtual fora d'aquest grup queda inabastable mentre el túnel encara informa Connected, que és la fallada més confusa d'aquest flux de treball. Afegeix la ruta explícitament després que la connexió tingui èxit, i apunta-la a l'adreça d'interfície que l'adaptador ha rebut en lloc del nom públic de la passarel·la. Aquesta adreça ve d'ipconfig després de connectar, i canvia entre sessions.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Elimina la ruta en desconnectar perquè un salt següent obsolet no pugui convertir més tard el trànsit en un forat negre. Tracta l'ordre com una desviació local documentada: si una versió futura del client afegeix la ruta ella mateixa, la teva línia es converteix en un duplicat que competeix amb el salt següent propi del paquet.

4. Verifica com a usuari estàndard

Una sessió d'administrador amaga errors d'abast, perquè l'elevació de vegades proporciona una credencial que l'usuari real no tindria.

Inicia sessió com a no administrador, connecta't pel perfil i prova un servei privat en lloc d'internet públic. Confirma que el perfil apareix a Get-VpnConnection -AllUserConnection, que l'estat arriba a Connected i que la ruta afegida apunta a l'adreça actual de l'adaptador. Després adorm la màquina, desperta-la i compara ipconfig de nou.

5. Elimina un desplegament dolent net

Remove-VpnConnection amb -AllUserConnection i -Force esborra el perfil d'àmbit de màquina. Force importa perquè un perfil connectat altrament refusa l'eliminació, i un perfil mig eliminat és més difícil de diagnosticar que una reinstal·lació neta.

Mantingues el nom del perfil, l'adreça de la passarel·la i les rutes afegides a les notes de desplegament. Aquests tres valors són el que necessita una trucada al servei d'assistència abans que algú obri un tiquet, i també són el que necessita el proper script quan canvia l'adreça de la passarel·la. Afegeix la versió del paquet de client a la mateixa nota, perquè el comportament de la ruta pertany a aquell paquet i no a Windows.