Byg en IKEv2-VPN i PowerShell med et maskincertifikat

Windows leverer en IKEv2-klient, som PowerShell styrer fra ende til anden, så en fungerende tunnel kræver hverken GUI eller tredjepartssoftware. Næsten enhver fejl kommer fra tre steder: hvor certifikatet endte, hvordan rutepræfikserne blev skrevet, og hvad den valgte EAP-metode forventer. Håndtér dem i den rækkefølge, fordi hver af dem kan kontrolleres, før den næste begynder, og en senere fejl vil skjule en tidligere.

Maskincertifikattunneler findes for at starte, før nogen logger ind, og derfor skal identiteten normalt ligge i computerens lager frem for en brugers.

Certifikatet først, tunnelen bagefter

To importer betyder noget. Klientidentiteten havner i Cert:\LocalMachine\My via Import-PfxCertificate, og den udstedende CA havner i Cert:\LocalMachine\Root via Import-Certificate. Et bladcertifikat alene beviser ingen kæde, så springer man den anden import over, står verifikationen uden noget at bygge på. Ud over tilstedeværelsen skal den private nøgle være tilknyttet, og computerkontoen skal have lov til at læse den. Get-ChildItem Cert:\LocalMachine\My viser, hvad der er ankommet; sammenlign fingeraftryk frem for emner, da næsten identiske emner er almindelige.

Kontrollér den udvidede nøgleanvendelse, før du udruller. Klientgodkendelse er det sædvanlige krav til en IKEv2-maskinidentitet, og den anden side skal stole på den CA, der signerede den. En identitet i en brugers lager findes ikke for en forbindelse i computerkontekst.

Opret profilen og dens ruter

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection skriver profilen. Switchen -AllUserConnection offentliggør den i den globale telefonbog, hvilket passer til en delt eller serviceadministreret maskine; undlad den til en enkelt bruger. Uanset hvilken adresse du sender, skal den matche DNS-navnet i serverens certifikat, ellers vises fejlen, efter at tunnelen allerede er oppe. Derefter tilføjes præfikser én ad gangen med Add-VpnConnectionRoute, og kun dem, som designet faktisk har brug for.

IPv6 har en særhed: Windows afviser ::/0 som VPN-rute, så ::/1 og 8000::/1 dækker tilsammen det samme adresserum. At route et præfiks giver heller ikke noget i den eksterne firewall, så præfikselisten og firewallpolitikken forbliver separate dokumenter.

Legitimationsoplysninger hører til godkendelsesmetoden

En profil med maskincertifikat kræver slet ingen brugerhemmelighed, mens en EAP-MSCHAPv2-profil gør. I det andet tilfælde stiller modulet VPNCredentialsHelper Set-VpnConnectionUsernamePassword til rådighed, og det vil have ren tekst: $cred.Password er en SecureString, så pak den først ud med GetNetworkCredential().Password. Installér modulet overalt, hvor kommandoen kører, ikke kun på den arbejdsstation, hvor den blev skrevet. EAP-TLS eller en brugerdefineret metode bruger slet ikke denne cmdlet; den tager i stedet en EAP-konfigurations-XML.

rasdial "Office IKEv2" rejser forbindelsen fra en shell, hvilket er den hurtigste måde at se resultatet i forgrunden frem for i en hændelseslog.

Hvad en tilsluttet tunnel ikke beviser

Tilsluttet-status dækker IKE-udvekslingen og godkendelsestrinner og intet derudover. DNS-adfærd, vejen til en privat vært og den eksterne firewall er alle stadig ubeviste. Arbejd udad: tunneladapteren, derefter et ruteopslag for en privat adresse, derefter én tjeneste, du har tilladelse til. Den første observation, der fejler, udpeger det lag, der skal undersøges.

Når du ændrer en profil, skal du slette den forrige med Remove-VpnConnection -Name "Office IKEv2" -Force, før du genskaber den; ellers består forældede indstillinger og ruter gennem redigeringen. Hvis den stadig ikke vil forbinde, skal du sammenligne det fingeraftryk, der er registreret i profilen, med det, der findes i lageret, fordi Windows kan holde en reference til en identitet, som siden er blevet erstattet under et uændret emne.

Hold fingeraftrykket, EAP-metoden og rutelisten ved siden af profilen. Sammen forklarer de det meste af det, der går galt senere.