Adeiladu VPN IKEv2 yn PowerShell gyda thystysgrif peiriant

Mae Windows yn cynnwys cleient IKEv2 y mae PowerShell yn ei reoli o'r dechrau i'r diwedd, felly nid oes angen GUI na meddalwedd trydydd parti ar diwnel sy'n gweithio. Mae bron pob methiant yn dod o dri lle: ble y gorffennodd y dystysgrif, sut y cafodd rhagddodiadau llwybr eu hysgrifennu, a beth mae'r dull EAP a ddewiswyd yn ei ddisgwyl. Deliwch â nhw yn y drefn honno, oherwydd gellir gwirio pob un cyn i'r nesaf ddechrau, a bydd gwall diweddarach yn cuddio un cynharach.

Mae tiwneli tystysgrif peiriant yn bodoli er mwyn cychwyn cyn i unrhyw un fewngofnodi, a dyna pam y mae'n rhaid i'r hunaniaeth fyw yn storfa'r cyfrifiadur yn hytrach nag un defnyddiwr fel arfer.

Y dystysgrif yn gyntaf, y tiwnel wedyn

Mae dwy fewnforiad yn bwysig. Mae hunaniaeth y cleient yn mynd i Cert:\LocalMachine\My drwy Import-PfxCertificate, ac mae'r CA sy'n cyhoeddi yn mynd i Cert:\LocalMachine\Root drwy Import-Certificate. Nid yw deilen ar ei phen ei hun yn profi unrhyw gadwyn, felly mae hepgor yr ail fewnforiad yn gadael y gwirio heb ddim i adeiladu arno. Y tu hwnt i bresenoldeb, rhaid i'r allwedd breifat fod ynghlwm a rhaid caniatáu i gyfrif y cyfrifiadur ei darllen. Mae Get-ChildItem Cert:\LocalMachine\My yn rhestru'r hyn a gyrhaeddodd; cymharwch olion bysedd yn hytrach na phynciau, oherwydd mae pynciau bron yn unfath yn gyffredin.

Gwiriwch y defnydd estynedig o allwedd cyn i chi gyflwyno. Dilysu cleient yw'r gofyniad arferol ar gyfer hunaniaeth peiriant IKEv2, a rhaid i'r ochr arall ymddiried yn y CA a'i llofnododd. Nid yw hunaniaeth yn storfa defnyddiwr yn bodoli i gysylltiad yng nghyd-destun cyfrifiadur.

Crëwch y proffil a'i lwybrau

Mae Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection yn ysgrifennu'r proffil. Mae'r switsh -AllUserConnection yn ei gyhoeddi yn y llyfr ffôn byd-eang, sy'n briodol ar gyfer blwch a rennir neu a reolir gan wasanaeth; hebddo ar gyfer un defnyddiwr. Beth bynnag yw'r cyfeiriad a roddwch, rhaid iddo gyd-fynd â'r enw DNS yn nhystysgrif y gweinydd, fel arall bydd y methiant yn ymddangos ar ôl i'r tiwnel fod i fyny'n barod. Yna ychwanegir rhagddodiadau un ar y tro gyda Add-VpnConnectionRoute, a dim ond y rhai sydd eu hangen ar y cynllun mewn gwirionedd.

Mae gan IPv6 un rhyfeddod: mae Windows yn gwrthod ::/0 fel llwybr VPN, felly mae ::/1 a 8000::/1 gyda'i gilydd yn gorchuddio'r un gofod cyfeiriadau. Nid yw llwybro rhagddodiad yn rhoi dim ychwaith wrth y mur tân o bell, felly mae'r rhestr rhagddodiadau a'r polisi mur tân yn parhau'n ddogfennau ar wahân.

Mae cymwysterau'n perthyn i'r dull dilysu

Nid oes angen unrhyw gyfrinach defnyddiwr ar broffil tystysgrif peiriant, tra mae angen un ar broffil EAP-MSCHAPv2. Ar gyfer yr ail achos mae modiwl VPNCredentialsHelper yn darparu Set-VpnConnectionUsernamePassword, ac mae eisiau testun plaen: $cred.Password yw SecureString, felly dadlapwch ef gyda GetNetworkCredential().Password yn gyntaf. Gosodwch y modiwl lle bynnag y mae'r gorchymyn yn rhedeg, nid yn unig ar y gorsaf waith lle y'i drafftiwyd. Nid yw EAP-TLS na dull cyfaddas yn defnyddio'r cmdlet hwn o gwbl; mae'n cymryd XML ffurfweddu EAP yn lle hynny.

Mae rasdial "Office IKEv2" yn codi'r cysylltiad o gragen, sef y ffordd gyflymaf i weld y canlyniad yn y blaendir yn hytrach nag mewn cofnod digwyddiadau.

Beth nad yw tiwnel cysylltiedig yn ei brofi

Mae statws cysylltiedig yn gorchuddio'r cyfnewid IKE a'r cam dilysu, a dim byd y tu hwnt iddynt. Mae ymddygiad DNS, y llwybr i westeiwr preifat a'r mur tân o bell i gyd yn dal heb eu profi. Gweithiwch tuag allan: yr addasydd tiwnel, yna chwiliad llwybr ar gyfer cyfeiriad preifat, yna un gwasanaeth y cewch ei ddefnyddio. Yr arsylwi cyntaf sy'n methu sy'n nodi'r haen i'w harchwilio.

Pan fyddwch yn newid proffil, dilëwch yr un blaenorol gyda Remove-VpnConnection -Name "Office IKEv2" -Force cyn ei ail-greu; fel arall bydd gosodiadau a llwybrau hen yn parhau trwy'r golygu. Os na fydd yn cysylltu o hyd, cymharwch yr ôl-bys sydd wedi'i gofnodi yn y proffil â'r un sydd yn y storfa, oherwydd gall Windows ddal cyfeiriad at hunaniaeth sydd ers hynny wedi'i disodli o dan bwnc heb ei newid.

Cadwch yr ôl-bys, y dull EAP a'r rhestr llwybrau wrth ymyl y proffil. Gyda'i gilydd maent yn esbonio'r rhan fwyaf o'r hyn sy'n mynd o'i le yn ddiweddarach.