Ein Azure-P2S-VPN-Profil für jeden Windows-Benutzer skripten

Add-VpnConnection löst einen EapConfigXmlStream-Fehler aus, wenn Schalter Boolesche Werte bekommen. Korrigieren Sie den Bereich und die fehlende Route, bevor Sie auf eine Flotte ausrollen.

Ein Azure-Point-to-Site-Paket von Hand zu verteilen funktioniert bei fünf Laptops und zerbricht bei fünfzig. Der skriptbasierte Weg hat zwei Fallen, die je einen Nachmittag kosten: ein Parameterfehler, der wie ein Zertifikatsfehler aussieht, und eine Route, die die Verbindung nie installiert, selbst wenn alles andere stimmt. Keine der beiden wird durch erneutes Herunterladen des Clientpakets behoben. Arbeiten Sie die folgenden Prüfungen der Reihe nach ab und halten Sie bei der ersten an, die scheitert.

Ich halte die Reihenfolge fest, weil jeder Schritt voraussetzt, dass der vorherige gilt.

1. Korrigieren Sie den Profilbereich vor dem ersten Gerät

Ein Profil für alle Benutzer lebt auf dem Rechner und erscheint in jeder Sitzung. Ein Profil pro Benutzer folgt einem Konto und bewahrt seine Anmeldeinformationen im Kontext dieses Kontos. Wählen Sie eines und bleiben Sie dabei, denn ein Rechner mit beiden zeigt zwei Einträge mit demselben Namen, und Benutzer verbinden sich mit dem, der zuerst erscheint. Den Bereich später zu ändern bedeutet, das alte Profil zuerst zu entfernen, statt es an Ort und Stelle zu bearbeiten.

Profile für alle Benutzer eignen sich für gemeinsam genutzte Geräte und Kioske, an denen sich niemand mit einem persönlichen Konto anmeldet. Sie sind die falsche Voreinstellung, wenn das Zertifikat pro Person ausgestellt wird, da ein rechnerweites Profil keine Anmeldeinformationen vorlegen kann, die jemand anderem gehören. Schreiben Sie die Wahl in das Bereitstellungsprotokoll, bevor der zweite Laptop existiert.

2. Übergeben Sie Schalter als Schalter

Add-VpnConnection nimmt Schalterparameter, die entweder vorhanden oder nicht vorhanden sind. $true an sie zu übergeben, löst einen EapConfigXmlStream-Fehler aus, weshalb so viele Diskussionen dazu damit enden, Zertifikatsketten zu prüfen, die nie das Problem waren.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Die Gateway-Adresse oben ist beispielhaft; nehmen Sie die echte aus dem heruntergeladenen Paket und halten Sie sie in Anführungszeichen. -AllUserConnection erfordert eine erhöhte Sitzung, und das Profil, das es anlegt, gilt rechnerweit, auch wenn Sie den Befehl als Administrator ausgeführt haben. Lesen Sie den Parametersatz mit Get-Help Add-VpnConnection -Parameter *, bevor Sie weitere Schalter anfügen.

3. Fügen Sie die Route hinzu, die der Adapter nicht hinzufügt

Der Point-to-Site-Adapter installiert eine Route für den Clientadresspool und sonst nichts.

Ein Präfix eines virtuellen Netzwerks außerhalb dieses Pools bleibt unerreichbar, während der Tunnel weiterhin Connected meldet, was der verwirrendste Fehler in diesem Ablauf ist. Fügen Sie die Route ausdrücklich hinzu, nachdem die Verbindung hergestellt ist, und richten Sie sie auf die Schnittstellenadresse, die der Adapter erhalten hat, statt auf den öffentlichen Gateway-Namen. Diese Adresse stammt nach dem Verbinden aus ipconfig und ändert sich zwischen Sitzungen.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Löschen Sie die Route beim Trennen, damit ein veralteter nächster Hop später keinen Datenverkehr ins Leere schicken kann. Behandeln Sie den Befehl als dokumentierte lokale Abweichung: Wenn eine künftige Clientversion die Route selbst hinzufügt, wird Ihre Zeile zu einem Duplikat, das mit dem eigenen nächsten Hop des Pakets konkurriert.

4. Prüfen Sie als Standardbenutzer

Eine Administratorsitzung verbirgt Bereichsfehler, weil die Erhöhung manchmal Anmeldeinformationen liefert, die der echte Benutzer nicht hätte.

Melden Sie sich als Nicht-Administrator an, verbinden Sie sich über das Profil und testen Sie einen privaten Dienst statt des öffentlichen Internets. Bestätigen Sie, dass das Profil in Get-VpnConnection -AllUserConnection erscheint, dass der Zustand Connected erreicht und dass Ihre hinzugefügte Route auf die aktuelle Adapteradresse zeigt. Versetzen Sie den Rechner dann in den Ruhezustand, wecken Sie ihn und vergleichen Sie ipconfig erneut.

5. Entfernen Sie ein schlechtes Rollout sauber

Remove-VpnConnection mit -AllUserConnection und -Force löscht das rechnerweite Profil. Force ist wichtig, weil ein verbundenes Profil das Entfernen sonst verweigert, und ein halb entferntes Profil ist schwerer zu diagnostizieren als eine saubere Neuinstallation.

Halten Sie Profilname, Gateway-Adresse und hinzugefügte Routen in den Bereitstellungsnotizen fest. Diese drei Werte braucht ein Anruf beim Helpdesk, bevor jemand ein Ticket öffnet, und sie braucht auch das nächste Skript, wenn sich die Gateway-Adresse ändert. Fügen Sie die Version des Clientpakets derselben Notiz hinzu, denn das Routenverhalten gehört zu diesem Paket und nicht zu Windows.

Ähnliche Artikel