Konstrui IKEv2 VPN per PowerShell kun maŝina atestilo

Windows liveras IKEv2-klienton, kiun PowerShell regas de komenco ĝis fino, do funkcianta tunelo bezonas nek GUI nek triapartan programaron. Preskaŭ ĉiu malsukceso venas el tri lokoj: kien la atestilo finiĝis, kiel la itinaj antaŭfiksaĵoj estis skribitaj, kaj kion la elektita EAP-metodo atendas. Traktu ilin en tiu ordo, ĉar ĉiu estas kontrolebla antaŭ ol la sekva komenciĝas, kaj pli posta eraro kaŝos pli fruan.

Maŝina-testilaj tuneloj ekzistas por starti antaŭ ol iu ajn ensalutas, tial la identeco kutime devas loĝi en la konservejo de la komputilo, ne de uzanto.

Unue la atestilo, poste la tunelo

Du importoj gravas. La klienta identeco iras en Cert:\LocalMachine\My per Import-PfxCertificate, kaj la eldonanta CA iras en Cert:\LocalMachine\Root per Import-Certificate. Folio sola pruvas neniun ĉenon, do preterlasi la duan importon lasas la kontrolon sen bazo. Krom ĉeesto, la privata ŝlosilo devas esti alkroĉita kaj la komputila konto devas rajtin legi ĝin. Get-ChildItem Cert:\LocalMachine\My listigas tion, kio alvenis; komparu fingrospurojn anstataŭ subjektojn, ĉar preskaŭ identaj subjektoj oftas.

Kontrolu la plivastigitan uzadon de la ŝlosilo antaŭ ol disfaldi. Klienta aŭtentikigo estas la kutima postulo por IKEv2-maŝina identeco, kaj la alia flanko devas fidi la CA, kiu subskribis ĝin. Identeco en uzanta konservejo ne ekzistas por konekto en komputila kunteksto.

Kreu la profilon kaj ĝiajn itinerojn

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection skribas la profilon. La ŝaltilo -AllUserConnection publikigas ĝin en la tutmonda telefondosiero, taŭga por kunhavigita aŭ servoadministrata skatolo; forlasu ĝin por unu uzanto. Kiun ajn adreson vi transdonos, ĝi devas kongrui kun la DNS-nomo en la atestilo de la servilo, alie la eraro aperas post kiam la tunelo jam staras. Poste la antaŭfiksaĵoj aldoniĝas unuope per Add-VpnConnectionRoute, kaj nur tiuj, kiujn la dezajno vere bezonas.

IPv6 havas apartaĵon: Windows rifuzas ::/0 kiel VPN-itinero, do ::/1 kaj 8000::/1 kune kovras la saman adresspacon. Itinigi antaŭfiksaĵon ankaŭ donas nenion ĉe la fora fajroŝirmilo, do la listo de antaŭfiksaĵoj kaj la fajroŝirmila politiko restas apartaj dokumentoj.

Legitimaĵoj apartenas al la aŭtentikiga metodo

Maŝina-atestila profilo bezonas tute neniun uzantan sekreton, dum EAP-MSCHAPv2-profilo bezonas. Por la dua kazo la modulo VPNCredentialsHelper liveras Set-VpnConnectionUsernamePassword, kaj ĝi volas puran tekston: $cred.Password estas SecureString, do malvolvu ĝin unue per GetNetworkCredential().Password. Instalu la modulon ĉie, kie la komando ruliĝas, ne nur sur la laborstacio, kie ĝi estis verkita. EAP-TLS aŭ propra metodo tute ne uzas ĉi tiun cmdlet; ĝi anstataŭe prenas EAP-agordan XML.

rasdial "Office IKEv2" starigas la konekton el ŝelo, kio estas la plej rapida maniero vidi la rezulton en la unua plano anstataŭ en okazaĵa protokolo.

Kion konektita tunelo ne pruvas

La stato konektita kovras la IKE-interŝanĝon kaj la aŭtentikigan paŝon, kaj nenion pli. DNS-konduto, la vojo al privata gastiganto kaj la fora fajroŝirmilo ankoraŭ ĉiuj ne pruvitaj. Laboru eksteren: la tunela adaptilo, poste itinera serĉo por privata adreso, poste unu servo, kiun vi rajtas uzi. La unua observo, kiu malsukcesas, indikas la tavolon por esplori.

Kiam vi ŝanĝas profilon, forigu la antaŭan per Remove-VpnConnection -Name "Office IKEv2" -Force antaŭ ol rekrei ĝin; alie kadukaj agordoj kaj itineroj restas tra la redakto. Se ĝi ankoraŭ ne konektiĝas, komparu la fingrospuron registritan en la profilo kun tiu ĉeesta en la konservejo, ĉar Windows povas teni referencon al identeco, kiu intertempe estis anstataŭita sub neŝanĝita subjekto.

Tenu la fingrospuron, la EAP-metodon kaj la itineraliston apud la profilo. Kune ili klarigas la plejparton de tio, kio poste fuŝiĝas.