IKEv2 VPN bat sortu PowerShell-en makina ziurtagiriarekin

Windows-ek PowerShell-ek hasieratik amaierara kontrolatzen duen IKEv2 bezero bat dakar, beraz tunel funtzional batek ez du GUIrik ez eta hirugarrenen softwarerik behar. Hutsegite ia guztiak hiru tokitatik datoz: ziurtagiria non amaitu zen, ibilbide aurrizkiak nola idatzi ziren eta aukeratutako EAP metodoak zer espero duen. Horiei ordena horretan heldu, bakoitza hurrengoa hasi aurretik egiazta daitekeelako eta geroagoko errore batek lehenagoko bat estaliko duelako.

Makina ziurtagiriko tunelek inor saioa hasi aurretik abiarazteko balio dute, eta horregatik identitateak ordenagailuaren biltegian bizi behar du normalean, erabiltzailearenean eta ez.

Lehenengo ziurtagiria, gero tunela

Bi inportazio dira garrantzitsuak. Bezeroaren identitatea Cert:\LocalMachine\My-ra doa Import-PfxCertificate bidez, eta igorle CA-a Cert:\LocalMachine\Root-ra doa Import-Certificate bidez. Hosto bakar batek ez du katearik frogatzen, beraz bigarren inportazioa saltatzeak egiaztapena oinarririk gabe uzten du. Presentziaz gain, gako pribatuari erantsita egon behar du eta ordenagailu kontuari irakurtzeko baimena eman behar zaio. Get-ChildItem Cert:\LocalMachine\My-k zer iritsi den zerrendatzen du; konparatu hatz-markak eta ez subjektuak, ia berdinak diren subjektuak ohikoak baitira.

Egiaztatu gakoaren erabilera hedatua zabaldu aurretik. Bezeroaren autentifikazioa da IKEv2 makina identitaterako ohiko baldintza, eta beste aldeak sinatu zuen CA-rengan konfiantza izan behar du. Erabiltzailearen biltegian dagoen identitatea ez da existitzen ordenagailu testuinguruko konexio batentzat.

Sortu profila eta haren ibilbideak

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection-k profila idazten du. -AllUserConnection etengailuak telefono-liburu globalean argitaratzen du, partekatutako edo zerbitzuak kudeatutako makina baterako egokia; kendu erabiltzaile bakar baterako. Pasatzen duzun edozein helbidek zerbitzariaren ziurtagiriko DNS izenarekin bat egin behar du, bestela hutsegitea tunela jada altxatuta dagoenean agertzen da. Ondoren aurrizkiak banan-banan gehitzen dira Add-VpnConnectionRoute-rekin, eta diseinuak benetan behar dituenak bakarrik.

IPv6-k bitxikeria bat du: Windows-ek ::/0 ukatzen du VPN ibilbide gisa, beraz ::/1 eta 8000::/1 elkarrekin helbide-espazio bera estaltzen dute. Aurrizki bat bideratzeak ez du ezer ematen urruneko suebakian ere, beraz aurrizki zerrenda eta suebakiaren politika dokumentu bereiziak izaten jarraitzen dute.

Kredentzialak autentifikazio metodoarenak dira

Makina ziurtagiriko profilek ez du erabiltzaile sekreturik behar, EAP-MSCHAPv2 profilek ordea bai. Bigarren kasurako VPNCredentialsHelper moduluak Set-VpnConnectionUsernamePassword eskaintzen du, eta testu hutsa nahi du: $cred.Password SecureString da, beraz askatu lehenengo GetNetworkCredential().Password-rekin. Instalatu modulua komandoa exekutzen den lekuan, ez soilik idatzi zen lan-estazioan. EAP-TLS edo metodo pertsonalizatu batek ez du cmdlet hau batere erabiltzen; horren ordez EAP konfigurazioko XML bat hartzen du.

rasdial "Office IKEv2"-k konexioa shell batetik altxatzen du, eta hori da emaitza lehen planoan ikusteko modurik azkarrena, gertaeren erregistroan izan beharrean.

Konektatutako tunelak zer frogatzen ez duen

Konektatuta egoerak IKE trukea eta autentifikazio urratsa estaltzen ditu, eta ez gehiago. DNS jokabidea, host pribatu baterako bidea eta urruneko suebakia oraindik frogatu gabe daude. Lan egin kanporantz: tunelaren egokitzailea, gero ibilbide bilaketa helbide pribatu baterako, gero baimena duzun zerbitzu bat. Huts egiten duen lehen behaketak ikertu beharreko geruza adierazten du.

Profila aldatzean, ezabatu aurrekoa Remove-VpnConnection -Name "Office IKEv2" -Force-rekin berriro sortu aurretik; bestela ezarpen eta ibilbide zaharkituak irauten dute edizioaren ondoren. Oraindik konektatzen ez badu, konparatu profilean erregistratutako hatz-marka biltegian dagoenarekin, Windows-ek subjektu aldatu gabean ordezkatutako identitate bati erreferentzia gorde baitiezaioke.

Eduki hatz-marka, EAP metodoa eta ibilbide zerrenda profilaren ondoan. Elkarrekin azaltzen dute geroago gaizki doanaren zatirik handiena.