Naskriptujte profil Azure P2S VPN pro každého uživatele Windows

Add-VpnConnection vyvolá chybu EapConfigXmlStream, když přepínače dostanou booleovské hodnoty. Opravte rozsah a chybějící trasu, než to nasadíte na flotilu.

Rozdávání balíčku Azure point-to-site funguje pro pět notebooků a u padesáti se rozpadne. Skriptovaná cesta má dvě pasti, z nichž každá stojí jedno odpoledne: chybu parametru, která vypadá jako selhání certifikátu, a trasu, kterou připojení nikdy nenainstaluje, i když je vše ostatní v pořádku. Ani jednu nevyřeší nové stažení klientského balíčku. Proveďte kontroly níže v pořadí a zastavte se u první, která selže.

Pořadí držím pevně, protože každý krok předpokládá, že předchozí platí.

1. Opravte rozsah profilu před prvním zařízením

Profil pro všechny uživatele žije na stroji a objevuje se v každé relaci. Profil pro jednotlivého uživatele sleduje jeden účet a uchovává jeho přihlašovací údaje v kontextu tohoto účtu. Vyberte jeden a držte se ho, protože stroj s oběma zobrazuje dvě položky se stejným názvem a uživatelé se připojují k té, která se objeví první. Změna rozsahu později znamená nejprve odebrat starý profil, místo abyste ho upravovali na místě.

Profily pro všechny uživatele se hodí pro sdílená zařízení a kiosky, kde se nikdo nepřihlašuje osobním účtem. Jsou špatným výchozím nastavením, když se certifikát vydává na osobu, protože profil v rozsahu stroje nemůže předložit údaj, který patří někomu jinému. Zapište volbu do záznamu o nasazení, než bude existovat druhý notebook.

2. Předejte přepínače jako přepínače

Add-VpnConnection přijímá parametry přepínačů, které buď jsou, nebo nejsou. Předání $true jim vyvolá chybu EapConfigXmlStream, a proto tolik vláken o tomto končí prohlížením řetězců certifikátů, které nikdy nebyly problémem.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Adresa brány výše je ilustrativní; vezměte skutečnou ze staženého balíčku a držte ji v uvozovkách. -AllUserConnection vyžaduje zvýšenou relaci a profil, který vytvoří, má rozsah stroje, i když jste příkaz spustili jako správce. Přečtěte si sadu parametrů pomocí Get-Help Add-VpnConnection -Parameter *, než přidáte další přepínače.

3. Přidejte trasu, kterou adaptér nepřidá

Adaptér point-to-site nainstaluje trasu pro fond klientských adres a nic jiného.

Předpona virtuální sítě mimo tento fond zůstává nedostupná, zatímco tunel stále hlásí Connected, což je nejmatoucnější selhání v tomto postupu. Přidejte trasu výslovně po úspěšném připojení a nasměrujte ji na adresu rozhraní, kterou adaptér dostal, nikoli na veřejný název brány. Tato adresa pochází z ipconfig po připojení a mezi relacemi se mění.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Při odpojení trasu smažte, aby starý další skok nemohl později proměnit provoz v černou díru. Berte příkaz jako zdokumentovanou místní odchylku: pokud budoucí verze klienta trasu přidá sama, váš řádek se stane duplikátem, který soutěží s vlastním dalším skokem balíčku.

4. Ověřte jako standardní uživatel

Relace správce skrývá chyby rozsahu, protože zvýšení oprávnění někdy poskytne údaj, který by skutečný uživatel neměl.

Přihlaste se jako neadministrátor, připojte se přes profil a otestujte jednu privátní službu místo veřejného internetu. Potvrďte, že se profil objevuje v Get-VpnConnection -AllUserConnection, že stav dosáhne Connected a že vaše přidaná trasa ukazuje na aktuální adresu adaptéru. Poté stroj uspěte, probuďte a znovu porovnejte ipconfig.

5. Odstraňte špatné nasazení čistě

Remove-VpnConnection s -AllUserConnection a -Force smaže profil v rozsahu stroje. Force je důležitý, protože připojený profil jinak odmítá odebrání, a napůl odebraný profil se diagnostikuje hůř než čistá přeinstalace.

Název profilu, adresu brány a přidané trasy držte v poznámkách k nasazení. Tyto tři hodnoty potřebuje volání na podporu, než někdo otevře tiket, a také je potřebuje další skript, když se adresa brány změní. Přidejte verzi klientského balíčku do stejné poznámky, protože chování trasy patří tomu balíčku, ne Windows.

Související články