Rakenna IKEv2 VPN PowerShellillä laitearsertifikaatilla
Sertifikaatin sijoitus, reittien etuliitteet ja EAP-tunnistetiedot ovat paikat, joissa IKEv2-komentosarja epäonnistuu. Rakenna tunneli PowerShellissä ja tarkista jokainen vaihe erikseen.
Windows toimittaa IKEv2-asiakkaan, jota PowerShell ohjaa päästä päähän, joten toimiva tunneli ei tarvitse käyttöliittymää eikä kolmannen osapuolen ohjelmistoa. Lähes jokainen epäonnistuminen tulee kolmesta paikasta: mihin sertifikaatti päätyi, miten reittien etuliitteet kirjoitettiin ja mitä valittu EAP-menetelmä odottaa. Käsittele ne tässä järjestyksessä, koska jokainen on tarkistettavissa ennen seuraavan alkua ja myöhempi virhe peittää aikaisemman.
Laitesertifikaattitunnelit ovat olemassa, jotta ne käynnistyvät ennen kuin kukaan kirjautuu sisään, siksi identiteetin on yleensä oltava tietokoneen, ei käyttäjän, säilössä.
Ensin sertifikaatti, sitten tunneli
Kaksi tuontia on tärkeää. Asiakkaan identiteetti menee Cert:\LocalMachine\My:aan komennolla Import-PfxCertificate ja myöntävä CA menee Cert:\LocalMachine\Root:een komennolla Import-Certificate. Pelkkä lehtivarmenne ei todista ketjua, joten toisen tuonnin väliin jättäminen jättää vahvistuksen ilman perustaa. Läsnäolon lisäksi yksityisavain on liitettävä ja tietokonetilillä on oltava lukeva oikeus. Get-ChildItem Cert:\LocalMachine\My luettelee, mitä saapui; vertaa sormenjälkiä äläkä subjekteja, sillä lähes identtiset subjektit ovat tavallisia.
Tarkista laajennettu avainkäyttö ennen käyttöönottoa. Asiakkaan todentaminen on tavallinen vaatimus IKEv2-laiteidentiteetille, ja vastapuolen on luotettava sen allekirjoittaneeseen CA:han. Käyttäjän säilössä olevaa identiteettiä ei ole olemassakaan tietokonekontekstin yhteydelle.
Luo profiili ja sen reitit
Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection kirjoittaa profiilin. Kytkin -AllUserConnection julkaisee sen yleisessä puhelinluettelossa, mikä sopii jaettuun tai palvelun hallitsemaan koneeseen; jätä se pois yhdelle käyttäjälle. Minkä tahansa osoitteen välitätkin, sen on vastattava palvelimen sertifikaatin DNS-nimeä, muuten virhe ilmenee vasta, kun tunneli on jo pystyssä. Sen jälkeen etuliitteet lisätään yksi kerrallaan komennolla Add-VpnConnectionRoute, ja vain ne, joita suunnittelu todella tarvitsee.
IPv6:ssa on erikoisuus: Windows hylkää ::/0:n VPN-reittinä, joten ::/1 ja 8000::/1 kattavat yhdessä saman osoiteavaruuden. Etuliitteen reitittäminen ei myöskään myönnä mitään etäpalomuurissa, joten etuliiteluettelo ja palomuurikäytäntö pysyvät erillisinä asiakirjoina.
Tunnistetiedot kuuluvat todentamismenetelmälle
Laitesertifikaattiprofiili ei tarvitse lainkaan käyttäjän salaisuutta, kun taas EAP-MSCHAPv2-profiili tarvitsee. Jälkimmäisessä tapauksessa moduuli VPNCredentialsHelper tarjoaa komennon Set-VpnConnectionUsernamePassword, ja se haluaa tavallista tekstiä: $cred.Password on SecureString, joten pura se ensin komennolla GetNetworkCredential().Password. Asenna moduuli kaikkialle, missä komento ajetaan, ei vain työasemaan, jossa se laadittiin. EAP-TLS tai mukautettu menetelmä ei käytä tätä cmdletiä lainkaan; se ottaa sen sijaan EAP-määrityksen XML:n.
rasdial "Office IKEv2" nostaa yhteyden kuoresta, mikä on nopein tapa nähdä tulos etualalla eikä tapahtumalokissa.
Mitä yhdistetty tunneli ei todista
Yhdistetty-tila kattaa IKE-vaihdon ja todentamisvaiheen eikä mitään muuta. DNS-käyttäytyminen, polku yksityiseen isäntään ja etäpalomuuri ovat kaikki vielä todistamatta. Työskentele ulospäin: tunnelisovitin, sitten reittihaku yksityiselle osoitteelle, sitten yksi palvelu, johon sinulla on lupa. Ensimmäinen epäonnistuva havainto osoittaa tutkittavan kerroksen.
Kun muutat profiilia, poista edellinen komennolla Remove-VpnConnection -Name "Office IKEv2" -Force ennen sen luomista uudelleen; muuten vanhentuneet asetukset ja reitit säilyvät muokkauksen läpi. Jos se ei vieläkään yhdistä, vertaa profiiliin kirjattua sormenjälkeä säilössä olevaan, koska Windows voi pitää viittausta identiteettiin, joka on sittemmin korvattu muuttumattoman subjektin alla.
Pidä sormenjälki, EAP-menetelmä ja reittiluettelo profiilin vieressä. Yhdessä ne selittävät suurimman osan siitä, mikä myöhemmin menee pieleen.