Looge IKEv2 VPN PowerShellis masinsertifikaadiga

Windowsiga tuleb kaasa IKEv2 klient, mida PowerShell algusest lõpuni juhib, nii et töötav tunnel ei vaja ei GUI-d ega kolmanda osapoole tarkvara. Peaaegu iga ebaõnnestumine tuleb kolmest kohast: kuhu sertifikaat sattus, kuidas marsruudi prefiksid kirja pandi ja mida valitud EAP meetod ootab. Käsitlege neid selles järjekorras, sest igaüht saab kontrollida enne järgmise algust ja hilisem viga varjab varasema.

Masinsertifikaadiga tunnelid on mõeldud käivituma enne, kui keegi sisse logib, mistõttu peab identiteet tavaliselt elama arvuti, mitte kasutaja hoidlas.

Kõigepealt sertifikaat, siis tunnel

Olulised on kaks importi. Kliendi identiteet läheb Cert:\LocalMachine\My-sse Import-PfxCertificate kaudu ja väljaandja CA läheb Cert:\LocalMachine\Root-sse Import-Certificate kaudu. Üksik lõppsertifikaat ei tõesta ühtegi ahelat, seega teise impordi vahelejätmine jätab kontrolli ilma aluseta. Lisaks olemasolule peab privaatvõti olema külge pandud ja arvuti kontol peab olema luba seda lugeda. Get-ChildItem Cert:\LocalMachine\My loetleb, mis kohale jõudis; võrrelge sõrmejälgi, mitte subjekte, sest peaaegu identsed subjektid on tavalised.

Kontrollige laiendatud võtmekasutust enne juurutamist. Kliendi autentimine on IKEv2 masinidentiteedi tavaline nõue ja teine pool peab usaldama CA-d, mis selle allkirjastas. Kasutaja hoidlas olevat identiteeti arvuti kontekstis loodava ühenduse jaoks ei ole olemas.

Looge profiil ja selle marsruudid

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection kirjutab profiili. Lüliti -AllUserConnection avaldab selle ülemaailmses telefoni büroos, mis sobib jagatud või teenusepõhiselt hallatava masina jaoks; üksiku kasutaja puhul jätke see välja. Mis tahes aadress, mille edastate, peab vastama serveri sertifikaadis olevale DNS nimele, muidu ilmneb viga pärast seda, kui tunnel on juba püsti. Seejärel lisatakse prefiksid ükshaaval Add-VpnConnectionRoute abil ja ainult need, mida disain tegelikult vajab.

IPv6-l on üks iseärasus: Windows keeldub ::/0-st VPN marsruudina, seega ::/1 ja 8000::/1 katavad koos sama aadressiruumi. Prefiksi marsruutimine ei anna midagi ka kaugtulemüüris, seepärast jäävad prefiksite loend ja tulemüüri poliitika eraldi dokumentideks.

Volitused kuuluvad autentimismeetodi juurde

Masinsertifikaadiga profiil ei vaja üldse kasutaja saladust, samas kui EAP-MSCHAPv2 profiil vajab. Teisel juhul pakub moodul VPNCredentialsHelper käsku Set-VpnConnectionUsernamePassword ja see tahab lihtteksti: $cred.Password on SecureString, seega pakkige see esmalt lahti GetNetworkCredential().Password abil. Paigaldage moodul kõikjale, kus käsk töötab, mitte ainult tööjaama, kus see koostati. EAP-TLS või kohandatud meetod ei kasuta seda cmdletit üldse; selle asemel võtab see EAP konfiguratsiooni XML-i.

rasdial "Office IKEv2" tõstab ühenduse kestast, mis on kiireim viis näha tulemust esiplaanil, mitte sündmuste logis.

Mida ühendatud tunnel ei tõesta

Ühendatud olek katab IKE vahetuse ja autentimise sammu ning ei midagi rohkemat. DNS-i käitumine, tee privaatse hostini ja kaugtulemüür on kõik veel tõestamata. Töötage väljapoole: tunneli adapter, seejärel marsruudi otsing privaatse aadressi jaoks, seejärel üks teenus, milleks teil luba on. Esimene ebaõnnestuv vaatlus näitab uurimist vajavat kihti.

Profiili muutmisel kustutage eelmine Remove-VpnConnection -Name "Office IKEv2" -Force abil enne selle uuesti loomist; muidu jäävad vananenud seaded ja marsruudid muudatusest läbi püsima. Kui see ikka ei ühenda, võrrelge profiili kantud sõrmejälge hoidlas olevaga, sest Windows võib hoida viidet identiteedile, mis on vahepeal muutumatu subjekti all välja vahetatud.

Hoidke sõrmejälg, EAP meetod ja marsruutide loend profiili kõrval. Koos seletavad need suuremat osa sellest, mis hiljem valesti läheb.