Skriv et Azure P2S VPN-profil til hver Windows-bruger

At dele et Azure point-to-site-pakke ud virker til fem laptops og falder fra hinanden ved halvtreds. Den scriptede vej har to fælder, som hver koster en eftermiddag: en parameterfejl, der lyder som en certifikatfejl, og en rute, som forbindelsen aldrig installerer, selv når alt andet er rigtigt. Ingen af dem løses ved at hente klientpakken igen. Tag kontrollerne nedenfor i rækkefølge, og stop ved den første, der fejler.

Jeg holder rækkefølgen fast, fordi hvert trin forudsætter, at det foregående er sandt.

1. Ret profilomfanget før den første enhed

En profil for alle brugere lever på maskinen og vises i hver session. En profil for hver bruger følger én konto og gemmer sine legitimationsoplysninger i den kontos kontekst. Vælg én, og hold dig til den, for en maskine med begge viser to poster med samme navn, og brugere forbinder til den, der vises først. At ændre omfang senere betyder at fjerne den gamle profil først i stedet for at redigere den på stedet.

Profiler for alle brugere passer til delte enheder og kiosker, hvor ingen logger ind med en personlig konto. De er den forkerte standard, når certifikatet udstedes for hver person, fordi en maskinomfattende profil ikke kan fremvise legitimationsoplysninger, der tilhører en anden. Skriv valget i udrulningsprotokollen, før den anden laptop findes.

2. Giv kontakter som kontakter

Add-VpnConnection tager kontaktparametre, der enten er til stede eller ikke. At give $true til dem udløser en EapConfigXmlStream-fejl, og derfor ender så mange tråde om dette med at inspicere certifikatkæder, som aldrig var problemet.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Gatewayadressen ovenfor er et eksempel; tag den rigtige fra det hentede pakke og hold den i anførselstegn. -AllUserConnection kræver en forhøjet session, og den profil, den opretter, er maskinomfattende, selv om du kørte kommandoen som administrator. Læs parametersættet med Get-Help Add-VpnConnection -Parameter *, før du sætter flere kontakter på.

3. Tilføj den rute, adapteren ikke tilføjer

Point-to-site-adapteren installerer en rute til klientadressepuljen og intet andet.

Et virtuelt netværkspræfiks uden for denne pulje forbliver utilgængeligt, mens tunnelen stadig rapporterer Connected, hvilket er den mest forvirrende fejl i dette arbejdsforløb. Tilføj ruten udtrykkeligt, når forbindelsen lykkes, og peg den på den grænsefladeadresse, adapteren fik, i stedet for på det offentlige gateway-navn. Den adresse kommer fra ipconfig efter forbindelsen og ændrer sig mellem sessioner.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Slet ruten ved afbrydelse, så et forældet næste hop ikke senere kan sende trafik i et sort hul. Behandl kommandoen som en dokumenteret lokal afvigelse: hvis en fremtidig klientversion selv tilføjer ruten, bliver din linje en dublet, der konkurrerer med pakkens eget næste hop.

4. Bekræft som standardbruger

En administratorsession skjuler omfangsfejl, fordi forhøjelse nogle gange leverer legitimationsoplysninger, som den rigtige bruger ikke ville have.

Log ind som ikke-administrator, opret forbindelse via profilen, og test én privat tjeneste i stedet for det offentlige internet. Bekræft, at profilen vises i Get-VpnConnection -AllUserConnection, at tilstanden når Connected, og at din tilføjede rute peger på den aktuelle adapteradresse. Sæt derefter maskinen i dvale, væk den, og sammenlign ipconfig igen.

5. Fjern en dårlig udrulning rent

Remove-VpnConnection med -AllUserConnection og -Force sletter den maskinomfattende profil. Force betyder noget, fordi en tilsluttet profil ellers nægter at blive fjernet, og en halvt fjernet profil er sværere at diagnosticere end en ren geninstallation.

Hold profilnavn, gatewayadresse og tilføjede ruter i udrulningsnoterne. De tre værdier er, hvad et opkald til helpdesken har brug for, før nogen åbner en sag, og de er også, hvad det næste script har brug for, når gatewayadressen ændres. Føj klientpakkens version til samme note, fordi rutens adfærd hører til den pakke og ikke til Windows.