Cree una VPN IKEv2 en PowerShell con un certificado de máquina

Windows incluye un cliente IKEv2 que PowerShell controla de principio a fin, así que un túnel funcional no necesita ni interfaz gráfica ni software de terceros. Casi todos los fallos provienen de tres lugares: dónde acabó el certificado, cómo se escribieron los prefijos de ruta y qué espera el método EAP elegido. Abórdelos en ese orden, porque cada uno es comprobable antes de que empiece el siguiente y un error posterior ocultará uno anterior.

Los túneles con certificado de máquina existen para arrancar antes de que nadie inicie sesión, por eso la identidad normalmente debe vivir en el almacén del equipo y no en el de un usuario.

Primero el certificado, después el túnel

Dos importaciones importan. La identidad del cliente va a Cert:\LocalMachine\My mediante Import-PfxCertificate, y la CA emisora va a Cert:\LocalMachine\Root mediante Import-Certificate. Un certificado hoja por sí solo no demuestra ninguna cadena, así que saltarse la segunda importación deja la verificación sin nada sobre lo que construir. Más allá de la presencia, la clave privada debe estar adjunta y la cuenta de equipo debe poder leerla. Get-ChildItem Cert:\LocalMachine\My enumera lo que llegó; compare huellas en lugar de sujetos, porque los sujetos casi idénticos son habituales.

Compruebe el uso extendido de la clave antes de desplegar. La autenticación de cliente es el requisito habitual para una identidad de máquina IKEv2, y el otro lado debe confiar en la CA que la firmó. Una identidad en el almacén de un usuario no existe para una conexión en contexto de equipo.

Cree el perfil y sus rutas

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection escribe el perfil. El modificador -AllUserConnection lo publica en la libreta de teléfonos global, adecuado para un equipo compartido o gestionado como servicio; omítalo para un solo usuario. Cualquier dirección que pase debe coincidir con el nombre DNS del certificado del servidor, de lo contrario el fallo aparece cuando el túnel ya está levantado. Luego los prefijos se añaden uno a uno con Add-VpnConnectionRoute, y solo los que el diseño necesita de verdad.

IPv6 tiene una peculiaridad: Windows rechaza ::/0 como ruta VPN, así que ::/1 y 8000::/1 juntos cubren el mismo espacio de direcciones. Enrutar un prefijo tampoco concede nada en el firewall remoto, así que la lista de prefijos y la política del firewall siguen siendo documentos separados.

Las credenciales pertenecen al método de autenticación

Un perfil con certificado de máquina no necesita ningún secreto de usuario, mientras que un perfil EAP-MSCHAPv2 sí. Para el segundo caso el módulo VPNCredentialsHelper proporciona Set-VpnConnectionUsernamePassword, y quiere texto plano: $cred.Password es un SecureString, así que desenvuélvalo primero con GetNetworkCredential().Password. Instale el módulo allí donde se ejecute el comando, no solo en la estación donde se redactó. EAP-TLS o un método personalizado no usan este cmdlet en absoluto; en su lugar toman un XML de configuración EAP.

rasdial "Office IKEv2" levanta la conexión desde un shell, que es la forma más rápida de ver el resultado en primer plano en lugar de en un registro de eventos.

Lo que un túnel conectado no demuestra

El estado conectado cubre el intercambio IKE y el paso de autenticación, y nada más. El comportamiento de DNS, la ruta hasta un host privado y el firewall remoto siguen sin demostrarse. Trabaje hacia fuera: el adaptador del túnel, luego una consulta de ruta para una dirección privada, luego un servicio que tenga permitido. La primera observación que falla identifica la capa que hay que investigar.

Cuando cambie un perfil, elimine el anterior con Remove-VpnConnection -Name "Office IKEv2" -Force antes de volver a crearlo; de lo contrario, los ajustes y rutas obsoletos persisten tras la edición. Si sigue sin conectar, compare la huella registrada en el perfil con la presente en el almacén, porque Windows puede mantener una referencia a una identidad que desde entonces se ha sustituido bajo un sujeto sin cambios.

Tenga la huella, el método EAP y la lista de rutas junto al perfil. Juntos explican la mayor parte de lo que falla después.