Skriptige Azure P2S VPN-i profiil iga Windowsi kasutaja jaoks

Azure'i punkt-koht-võrgu paketi käsitsi jagamine töötab viie sülearvuti puhul ja laguneb viiekümne juures. Skriptitud teel on kaks lõksu, millest kumbki maksab ühe pärastlõuna: parameetri viga, mis näeb välja nagu sertifikaadi tõrge, ja marsruut, mida ühendus kunagi ei paigalda, isegi kui kõik muu on õige. Kumbagi ei paranda kliendipaketi uuesti allalaadimine. Tehke allpool olevad kontrollid järjekorras ja peatuge esimesel, mis ebaõnnestub.

Hoian järjekorra fikseerituna, sest iga samm eeldab, et eelmine kehtib.

1. Parandage profiili ulatus enne esimest seadet

Kõigi kasutajate profiil elab masinas ja ilmub igas seansis. Ühe kasutaja profiil järgib üht kontot ja hoiab selle volitusi selle konto kontekstis. Valige üks ja jääge selle juurde, sest mõlemat kandev masin näitab kahte sama nimega kirjet ja kasutajad ühenduvad sellega, mis ilmub esimesena. Ulatuse hilisem muutmine tähendab vana profiili eemaldamist, mitte selle kohapeal muutmist.

Kõigi kasutajate profiilid sobivad jagatud ja kioskiseadmetele, kus keegi ei logi sisse isikliku kontoga. Need on vale vaikeväärtus, kui sertifikaat väljastatakse inimese kohta, sest masinaulatuslik profiil ei saa esitada volitusi, mis kuuluvad kellelegi teisele. Kirjutage valik juurutuskirjesse enne, kui teine sülearvuti olemas on.

2. Edastage lülitid lülititena

Add-VpnConnection võtab lülitiparameetreid, mis kas on olemas või puuduvad. Nendele $true edastamine tekitab EapConfigXmlStreami vea, mistõttu nii paljud selle teemalised lõimed lõpevad sertifikaadiahelate uurimisega, mis ei olnud kunagi probleem.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Ülaltoodud lüüsi aadress on näitlik; võtke tegelik allalaaditud paketist ja hoidke seda jutumärkides. -AllUserConnection nõuab tõstetud seanssi ja loodud profiil on masinaulatuslik ka siis, kui käivitasite käsu administraatorina. Lugege parameetrite kogumit käsuga Get-Help Add-VpnConnection -Parameter *, enne kui lisate rohkem lüliteid.

3. Lisage marsruut, mida adapter ei lisa

Punkt-koht-võrgu adapter paigaldab marsruudi kliendi aadresside kogumile ja mitte midagi muud.

Virtuaalvõrgu eesliide väljaspool seda kogumit jääb kättesaamatuks, samal ajal kui tunnel teatab endiselt Connected, mis on selle töövoo segadusttekitavaim tõrge. Lisage marsruut selgesõnaliselt pärast ühenduse õnnestumist ja suunake see liidese aadressile, mille adapter sai, mitte avalikule lüüsi nimele. See aadress tuleb pärast ühendamist ipconfigist ja muutub seansside vahel.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Kustutage marsruut lahtiühendamisel, et aegunud järgmine hüpe ei saaks hiljem liiklust musta auku saata. Käsitlege käsku dokumenteeritud kohaliku kõrvalekaldena: kui tulevane kliendi väljalase lisab marsruudi ise, muutub teie rida duplikaadiks, mis võistleb paketi enda järgmise hüppega.

4. Kontrollige tavalise kasutajana

Administraatori seanss peidab ulatuse vigu, sest tõstmine annab mõnikord volituse, mida tegelikul kasutajal ei oleks.

Logige sisse mitteadministraatorina, ühenduge profiili kaudu ja testige ühte privaatset teenust avaliku interneti asemel. Kinnitage, et profiil ilmub käsus Get-VpnConnection -AllUserConnection, et olek jõuab Connectedini ja et lisatud marsruut osutab praegusele adapteri aadressile. Seejärel pange masin unerežiimi, äratage see ja võrrelge ipconfigi uuesti.

5. Eemaldage halb juurutus puhtalt

Remove-VpnConnection koos -AllUserConnection ja -Force kustutab masinaulatusliku profiili. Force loeb, sest ühendatud profiil keeldub muidu eemaldamisest, ja pooleldi eemaldatud profiili on raskem diagnoosida kui puhast uuesti paigaldamist.

Hoidke profiili nimi, lüüsi aadress ja lisatud marsruudid juurutusmärkmetes. Need kolm väärtust on see, mida tugiteenuse kõne vajab enne, kui keegi pileti avab, ja neid vajab ka järgmine skript, kui lüüsi aadress muutub. Lisage kliendipaketi versioon samasse märkmesse, sest marsruudi käitumine kuulub sellele paketile, mitte Windowsile.