Skripti Azure P2S VPN-profilo por ĉiu Windows-uzanto

Disdoni Azure punkt-al-ejan pakon funkcias por kvin tekkomputiloj kaj disfalas ĉe kvindek. La skripta vojo havas du kaptilojn, kiuj ĉiu kostas posttagmezon: parametra eraro, kiu aspektas kiel atestila fiasko, kaj vojo, kiun la konekto neniam instalas, eĉ kiam ĉio alia estas ĝusta. Neniun el ili riparas denove elŝuti la klientan pakon. Faru la subajn kontrolojn laŭ ordo kaj haltu ĉe la unua, kiu fiaskas.

Mi tenas la ordon fiksa ĉar ĉiu paŝo supozas, ke la antaŭa veras.

1. Riparu la profilan amplekson antaŭ la unua aparato

Profilo por ĉiuj uzantoj loĝas sur la maŝino kaj aperas en ĉiu seanco. Profilo por unu uzanto sekvas unu konton kaj konservas ĝiajn akreditaĵojn en la kunteksto de tiu konto. Elektu unu kaj restu ĉe ĝi, ĉar maŝino portanta ambaŭ montras du enskribojn kun la sama nomo, kaj uzantoj konektiĝas al tiu, kiu aperas unue. Ŝanĝi la amplekson poste signifas forigi la malnovan profilon unue anstataŭ redakti ĝin surloke.

Profiloj por ĉiuj uzantoj taŭgas por komunuzaj aparatoj kaj kioskoj, kie neniu ensalutas per persona konto. Ili estas la malĝusta defaŭlto kiam la atestilo estas eldonata por persono, ĉar maŝinampleksa profilo ne povas prezenti akreditaĵon, kiu apartenas al iu alia. Skribu la elekton en la deploja protokolo antaŭ ol ekzistas la dua tekkomputilo.

2. Transdonu ŝaltilojn kiel ŝaltilojn

Add-VpnConnection prenas ŝaltilajn parametrojn, kiuj aŭ ĉeestas aŭ mankas. Transdoni $true al ili kaŭzas eraron EapConfigXmlStream, kaj tial tiom da fadenoj pri tio finiĝas per ekzamenado de atestilaj ĉenoj, kiuj neniam estis la problemo.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

La enporda adreso supre estas ilustra; prenu la realan el la elŝutita pako kaj tenu ĝin citita. -AllUserConnection postulas altigitan seancon, kaj la profilo, kiun ĝi kreas, estas maŝinampleksa eĉ se vi rulis la komandon kiel administranto. Legu la parametraron per Get-Help Add-VpnConnection -Parameter * antaŭ ol aldoni pliajn ŝaltilojn.

3. Aldonu la vojon, kiun la adaptilo ne aldonas

La punkt-al-eja adaptilo instalas vojon por la klienta adresaro kaj nenion alian.

Virta reta prefikso ekster tiu aro restas neatingebla dum la tunelo ankoraŭ raportas Connected, kio estas la plej konfuza fiasko en ĉi tiu laborfluo. Aldonu la vojon eksplicite post kiam la konekto sukcesas, kaj direktu ĝin al la interfaca adreso, kiun la adaptilo ricevis, anstataŭ al la publika enporda nomo. Tiu adreso venas de ipconfig post konektiĝo, kaj ĝi ŝanĝiĝas inter seancoj.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Forigu la vojon ĉe malkonekto, por ke malnova sekva salteto ne povu poste ĵeti trafikon en nigran truon. Traktu la komandon kiel dokumentitan lokan devion: se estonta klienta eldono mem aldonos la vojon, via linio fariĝos duplikato konkurencanta kun la propra sekva salteto de la pako.

4. Kontrolu kiel ordinara uzanto

Administranta seanco kaŝas ampleksajn erarojn, ĉar altigo kelkfoje liveras akreditaĵon, kiun la reala uzanto ne havus.

Ensalutu kiel neadministranto, konektiĝu per la profilo kaj testu unu privatan servon anstataŭ la publika interreto. Konfirmu, ke la profilo aperas en Get-VpnConnection -AllUserConnection, ke la stato atingas Connected kaj ke via aldonita vojo montras al la nuna adaptila adreso. Poste dormantigu la maŝinon, veku ĝin kaj denove komparu ipconfig.

5. Forigu malbonan deplojon pure

Remove-VpnConnection kun -AllUserConnection kaj -Force forigas la maŝinampleksan profilon. Force gravas ĉar konektita profilo alie rifuzas forigon, kaj duone forigita profilo estas pli malfacile diagnozebla ol pura reinstalo.

Tenu la profilan nomon, enpordan adreson kaj aldonitajn vojojn en la deplojaj notoj. Tiuj tri valoroj estas tio, kion bezonas helpdeska voko antaŭ ol iu malfermas bileton, kaj ili ankaŭ estas tio, kion bezonos la sekva skripto kiam la enporda adreso ŝanĝiĝos. Aldonu la version de la klienta pako al la sama noto, ĉar la konduto de la vojo apartenas al tiu pako, ne al Windows.