Κατασκευάστε ένα IKEv2 VPN στο PowerShell με πιστοποιητικό μηχανήματος

Τα Windows παρέχουν έναν πελάτη IKEv2 τον οποίο το PowerShell ελέγχει από άκρη σε άκρη, οπότε μια λειτουργική σήραγγα δεν χρειάζεται ούτε GUI ούτε λογισμικό τρίτων. Σχεδόν κάθε αποτυχία προέρχεται από τρία σημεία: πού κατέληξε το πιστοποιητικό, πώς γράφτηκαν τα προθέματα δρομολόγησης και τι περιμένει η επιλεγμένη μέθοδος EAP. Χειριστείτε τα με αυτή τη σειρά, γιατί το καθένα ελέγχεται πριν ξεκινήσει το επόμενο και ένα μεταγενέστερο σφάλμα θα κρύψει ένα προγενέστερο.

Οι σήραγγες με πιστοποιητικό μηχανήματος υπάρχουν για να ξεκινούν πριν συνδεθεί κανείς, γι' αυτό η ταυτότητα πρέπει συνήθως να βρίσκεται στο χώρο αποθήκευσης του υπολογιστή και όχι του χρήστη.

Πρώτα το πιστοποιητικό, μετά η σήραγγα

Δύο εισαγωγές έχουν σημασία. Η ταυτότητα του πελάτη πηγαίνει στο Cert:\LocalMachine\My μέσω Import-PfxCertificate, και η αρχή έκδοσης CA πηγαίνει στο Cert:\LocalMachine\Root μέσω Import-Certificate. Ένα φύλλο από μόνο του δεν αποδεικνύει καμία αλυσίδα, οπότε παραλείποντας τη δεύτερη εισαγωγή η επαλήθευση μένει χωρίς βάση. Πέρα από την παρουσία, το ιδιωτικό κλειδί πρέπει να είναι συνδεδεμένο και ο λογαριασμός υπολογιστή πρέπει να έχει άδεια να το διαβάζει. Το Get-ChildItem Cert:\LocalMachine\My απαριθμεί τι έφτασε· συγκρίνετε αποτυπώματα και όχι υποκείμενα, γιατί υποκείμενα σχεδόν ίδια είναι συνηθισμένα.

Ελέγξτε την εκτεταμένη χρήση κλειδιού πριν την ανάπτυξη. Ο έλεγχος ταυτότητας πελάτη είναι η συνήθης απαίτηση για ταυτότητα μηχανήματος IKEv2, και η άλλη πλευρά πρέπει να εμπιστεύεται την CA που την υπέγραψε. Μια ταυτότητα στο χώρο αποθήκευσης χρήστη δεν υπάρχει για σύνδεση σε περιβάλλον υπολογιστή.

Δημιουργήστε το προφίλ και τις διαδρομές του

Το Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection γράφει το προφίλ. Ο διακόπτης -AllUserConnection το δημοσιεύει στον καθολικό τηλεφωνικό κατάλογο, κατάλληλο για κοινόχρηστο ή διαχειριζόμενο από υπηρεσία μηχάνημα· παραλείψτε τον για έναν χρήστη. Όποια διεύθυνση περάσετε πρέπει να ταιριάζει με το όνομα DNS στο πιστοποιητικό του διακομιστή, αλλιώς το σφάλμα εμφανίζεται αφού η σήραγγα είναι ήδη ενεργή. Έπειτα τα προθέματα προστίθενται ένα κάθε φορά με το Add-VpnConnectionRoute, και μόνο όσα χρειάζεται πραγματικά ο σχεδιασμός.

Το IPv6 έχει μια ιδιομορφία: τα Windows αρνούνται το ::/0 ως διαδρομή VPN, οπότε το ::/1 και το 8000::/1 μαζί καλύπτουν τον ίδιο χώρο διευθύνσεων. Η δρομολόγηση ενός προθέματος δεν παρέχει επίσης τίποτα στο απομακρυσμένο firewall, οπότε η λίστα προθεμάτων και η πολιτική του firewall μένουν ξεχωριστά έγγραφα.

Τα διαπιστευτήρια ανήκουν στη μέθοδο ελέγχου ταυτότητας

Ένα προφίλ με πιστοποιητικό μηχανήματος δεν χρειάζεται καθόλου μυστικό χρήστη, ενώ ένα προφίλ EAP-MSCHAPv2 χρειάζεται. Για τη δεύτερη περίπτωση η μονάδα VPNCredentialsHelper παρέχει το Set-VpnConnectionUsernamePassword, και θέλει απλό κείμενο: το $cred.Password είναι SecureString, οπότε ξετυλίξτε το πρώτα με το GetNetworkCredential().Password. Εγκαταστήστε τη μονάδα όπου κι αν εκτελείται η εντολή, όχι μόνο στον σταθμό εργασίας όπου συντάχθηκε. Το EAP-TLS ή μια προσαρμοσμένη μέθοδος δεν χρησιμοποιεί καθόλου αυτό το cmdlet· παίρνει αντί γι' αυτό ένα XML ρυθμίσεων EAP.

Το rasdial "Office IKEv2" σηκώνει τη σύνδεση από ένα κέλυφος, που είναι ο ταχύτερος τρόπος να δείτε το αποτέλεσμα στο προσκήνιο και όχι σε αρχείο καταγραφής συμβάντων.

Τι δεν αποδεικνύει μια συνδεδεμένη σήραγγα

Η κατάσταση σύνδεσης καλύπτει την ανταλλαγή IKE και το βήμα ελέγχου ταυτότητας, και τίποτα πέρα από αυτά. Η συμπεριφορά DNS, η διαδρομή προς ιδιωτικό κεντρικό υπολογιστή και το απομακρυσμένο firewall παραμένουν όλα ατεκμηρίωτα. Δουλέψτε προς τα έξω: ο προσαρμογέας σήραγγας, μετά μια αναζήτηση διαδρομής για ιδιωτική διεύθυνση, μετά μία υπηρεσία που επιτρέπεται να χρησιμοποιείτε. Η πρώτη παρατήρηση που αποτυγχάνει υποδεικνύει το επίπεδο προς διερεύνηση.

Όταν αλλάζετε προφίλ, διαγράψτε το προηγούμενο με το Remove-VpnConnection -Name "Office IKEv2" -Force πριν το ξαναδημιουργήσετε· αλλιώς παρωχημένες ρυθμίσεις και διαδρομές παραμένουν μετά την επεξεργασία. Αν εξακολουθεί να μη συνδέεται, συγκρίνετε το αποτύπωμα που καταγράφεται στο προφίλ με αυτό που υπάρχει στο χώρο αποθήκευσης, γιατί τα Windows μπορεί να κρατούν αναφορά σε ταυτότητα που στο μεταξύ αντικαταστάθηκε κάτω από αμετάβλητο υποκείμενο.

Κρατήστε το αποτύπωμα, τη μέθοδο EAP και τη λίστα διαδρομών δίπλα στο προφίλ. Μαζί εξηγούν τα περισσότερα από όσα πάνε στραβά αργότερα.