In IKEv2-VPN bouwe yn PowerShell mei in masjinesertifikaat
Sertifikaatplakking, rûteprefiksen en EAP-credinsjes binne de plakken dêr't in IKEv2-skript mislearret. Bou de tunnel yn PowerShell en ferifiearje elke stap apart.
Windows levert in IKEv2-klant dy't PowerShell fan begjin oant ein bestjoert, sadat in wurkjende tunnel gjin GUI en gjin software fan tredden nedich hat. Hast elke mislearring komt fan trije plakken: wêr't it sertifikaat bedarre, hoe't de rûteprefiksen skreaun waarden en wat de keazen EAP-metoade ferwachtet. Behannelje se yn dy folchoarder, want elk is kontrolearber foardat de folgjende begjint en in lettere flater sil in eardere ferbergje.
Masjinesertifikaattunnels besteane om te starten foardat immen oanmeldt, dêrom moat de identiteit normaal yn 'e opslach fan 'e kompjûter libje ynstee fan yn dy fan in brûker.
Earst it sertifikaat, dan de tunnel
Twa ymporten binne wichtich. De kliïntidentiteit giet yn Cert:\LocalMachine\My fia Import-PfxCertificate, en de útjaande CA giet yn Cert:\LocalMachine\Root fia Import-Certificate. In blêdsertifikaat allinnich bewiist gjin keatling, dus it oerslaan fan de twadde ymport lit de ferifikaasje sûnder grûn. Njonken oanwêzigens moat de partikuliere kaai taheakke wêze en moat it kompjûteraccount tastimming hawwe om dy te lêzen. Get-ChildItem Cert:\LocalMachine\My listet wat oankaam; fergelykje thumbprints ynstee fan ûnderwerpen, want hast identike ûnderwerpen binne gewoan.
Kontrolearje it útwreide kaaigebrûk foardat jo útrolle. Kliïntautentikaasje is de gewoane eask foar in IKEv2-masjine-identiteit, en de oare kant moat it CA fertrouwe dat it ûndertekene hat. In identiteit yn 'e opslach fan in brûker bestiet net foar in ferbining yn kompjûterkontekst.
Meitsje it profyl en syn rûtes oan
Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection skriuwt it profyl. De skeakel -AllUserConnection publisearret it yn it globale telefoanboek, geskikt foar in dielde of troch tsjinst beheardersdoas; lit him weilân foar ien brûker. Hokker adres jo ek trochjouwe, it moat oerienkomme mei de DNS-namme yn it sertifikaat fan de tsjinner, oars ferskynt de flater nei't de tunnel al oan stiet. Dêrnei wurde prefiksen ien foar ien tafoege mei Add-VpnConnectionRoute, en allinnich dy't it ûntwerp echt nedich hat.
IPv6 hat in frjemdheid: Windows wegeret ::/0 as VPN-rûte, dus ::/1 en 8000::/1 tegearre dekke deselde adresromte. In prefiks rûteje jout ek neat by de fiere firewall, dus de prefikslist en it firewallbelied bliuwe aparte dokuminten.
Credinsjes hearre by de autentikaasjemetoade
In masjinesertifikaatprofyl hat hielendal gjin brûkersgeheim nedich, wylst in EAP-MSCHAPv2-profyl dat wol hat. Foar it twadde gefal leveret de module VPNCredentialsHelper Set-VpnConnectionUsernamePassword, en hy wol platte tekst: $cred.Password is in SecureString, dus pak it earst út mei GetNetworkCredential().Password. Ynstallearje de module oeral dêr't it kommando rint, net allinnich op it wurkstasjon dêr't it opsteld waard. EAP-TLS of in oanpast metoade brûkt dit cmdlet hielendal net; it nimt ynstee in EAP-konfiguraasje-XML.
rasdial "Office IKEv2" hellet de ferbining omheech fan in shell, dat is de fluchste manier om it resultaat op 'e foargrûn te sjen ynstee fan yn in barrenlog.
Wat in ferbûn tunnel net bewiist
Ferbiningsstatus beslacht de IKE-útwikseling en de autentikaasjestap, en neat fierder. DNS-gedrach, it paad nei in partikuliere host en de fiere firewall binne allegear noch net bewiisd. Wurkje nei bûten: de tunneladapter, dan in rûtesykjen foar in partikulier adres, dan ien tsjinst dy't jo brûke meie. De earste waarnimming dy't mislearret, wiist de laach oan om te ûndersykjen.
As jo in profyl feroarje, wiskje dan it foarige mei Remove-VpnConnection -Name "Office IKEv2" -Force foardat jo it opnij meitsje; oars bliuwe ferâldere ynstellingen en rûtes troch de bewurking hinne bestean. As it noch net ferbine wol, fergelykje dan de thumbprint dy't yn it profyl fêstlein is mei dy yn 'e opslach, want Windows kin in ferwizing hâlde nei in identiteit dy't ûnderwilens ferfongen is ûnder in ûnferoare ûnderwerp.
Hâld de thumbprint, de EAP-metoade en de rûtelist neist it profyl. Tegearre ferklearje se it measte fan wat letter misgiet.