Próifíl VPN a iompórtáil i PowerShell le Add-VpnConnection

Níl aon cmdlet Import-VpnProfile ann, agus ní léann an ceann is cosúla leis, Add-VpnConnection, comhad .ovpn ná .conf riamh. Cóimeálann sé próifíl dhúchasach Windows ó na paraiméadair a thugann tú dó, agus sin é an fáth gurb é formáid an chomhaid an chéad seicphointe anseo, ní an líne ordaithe. Má labhraíonn an geata SSTP, IKEv2, L2TP/IPsec nó PPTP, is féidir le Windows an phróifíl a shealbhú agus baineann an chuid eile den liosta. Má tugadh comhad OpenVPN nó WireGuard duit, stop ag an gcéad chéim: is leo siúd a n-iompórtálaithe féin.

Céim 1: Deimhnigh an phróifíl is féidir le Windows a shealbhú i ndáiríre

Rith Get-Command -Module VpnClient ar an meaisín roimh aon rud eile. Seolann Windows 10, Windows 11 agus Server 2016 nó níos déanaí an modúl; mura bhfuil sé ann, ní chuirfidh aon script cóipeáilte iallach ar an óstach seo próifíl dhúchasach a ghlacadh. Is iad na cmdlets atá tábhachtach Add-VpnConnection, Get-VpnConnection agus Remove-VpnConnection, agus is fiú liosta na bparaiméadar sa tagairt Add-VpnConnection a léamh uair amháin go hiomlán.

Ciallaíonn dúchasach go gcríochnaíonn stack VPN Windows an tollán. Clúdaíonn sé sin IKEv2, go minic le teastas meaisín; SSTP, ar TLS é le fíordheimhniú úsáideora nó teastais istigh; agus L2TP/IPsec le heochair réamhroinnte. Is script OpenVPN é comhad .ovpn, ní nasc Windows: iompraíonn sé treoracha ar nós remote, cipher nó tls-auth nach bhfuil aon choincheap ag stack Windows díobh. Scéal céanna é comhad .conf WireGuard le PrivateKey agus AllowedIPs; ní rogha paraiméadair é ceann a thiontú go dtí an ceann eile ach cur i bhfeidhm tolláin eile.

Tá tríú brainse ann. Má thugann riarthóir doiciméad XML VPNv2 CSP nó próifíl Intune duit, is é sin an cosán MDM, curtha i bhfeidhm ag an stack soláthair seachas ag Add-VpnConnection. Ná haistrigh na hainmneacha nóid sin go paraiméadair PowerShell; fiafraigh ina ionad cén meicníocht a chuireann an XML i bhfeidhm.

Céim 2: Péireáil an cineál tolláin leis an modh fíordheimhnithe

Is paraiméadair ar leith iad -TunnelType agus -AuthenticationMethod, agus ní chuireann an geata suim ar bith sa chomhcheangal amháin. Ceann ceart agus an ceann eile mícheart agus gheobhaidh tú próifíl nach nascann le haon rud, nó a stopann agus an tollán cheana féin in airde. Socraigh an dá cheann go sainráite in ionad brath ar réamhshocrú a roghnaíodh do sheirbhís eile.

• IKEv2 le MachineCertificate: cuireann an cliant teastas ríomhaire i láthair; socraigh -EncryptionLevel Required freisin.
• SSTP le Eap: tollán TLS ar dtús, ansin PEAP/MSCHAPv2 nó teastas taobh istigh de EAP. Teastaíonn XML chéim 3 uaidh seo.
• SSTP, L2TP nó PPTP le MSChapv2, Chap nó Pap: ainm úsáideora agus focal faire simplí, gan aon bhlob EAP.
• L2TP le MSChapv2 agus -Lt2pPsk: clúdaíonn an PSK an leath IPsec, clúdaíonn an t-úsáideoir PPP; caithfidh an dá cheann teacht leis an bhfreastalaí.

Coinníonn splat na luachanna in aon áit amháin:

$p = @{
  Name                 = "Corp IKEv2"
  ServerAddress        = "vpn.example.com"
  TunnelType           = "Ikev2"
  AuthenticationMethod = "MachineCertificate"
  EncryptionLevel      = "Required"
  SplitTunneling       = $false
  DnsSuffix            = "corp.example.com"
}
Add-VpnConnection @p -PassThru

Filleann -PassThru an réad a scríobh Windows díreach anois, ionas gur féidir leat é a scrúdú gan dara glao. Má tá an t-ainm ann cheana féin, diúltaíonn an cmdlet rith; scríobhann -Force thairis, agus is é sin an frithghníomh mícheart ar ríomhaire táirgeachta, mar scriosann sé go ciúin gach a chum duine de láimh.

Céim 3: Tabhair an t-ábhar dintiúir suas i gceart

Is iad na focail faire, na heochracha réamhroinnte agus na bloib EAP an áit a mbraitheann na scripteanna seo de ghnáth. Teastaíonn XmlDocument ó -EapConfigXmlStream, ní cosán, mar sin léigh agus tiontaigh an comhad ar dtús. Má thugann tú teaghrán dó, cruthaítear earráid tiontaithe a bhfuil cuma fhadhb scéime uirthi agus a chuireann daoine ag athscríobh XML nárbh fhadhb riamh é.

$eap = [xml](Get-Content -Raw .\peap-mschapv2.xml)
Add-VpnConnection -Name "Corp SSTP" -ServerAddress "sstp.example.com" `
  -TunnelType Sstp -AuthenticationMethod Eap `
  -EapConfigXmlStream $eap -EncryptionLevel Required

Ní rud é an XML sin le cumadh as blúire blag. Ainmníonn sé cineál an mhodha EAP agus an fhíordheimhniú istigh, agus déanann an geata an dá cheann a chur i gcomparáid lena bheartas. Teipeann modh istigh nach dtagann le chéile tar éis don chroitheadh lámh TLS críochnú, rud a bhfuil cuma fhocal faire bhréige air agus nach ea. Tóg an XML ón té a ritheann an geata, nó easpórtáil ó phróifíl atá ag obair cheana féin é.

Maidir le IKEv2 is cuardach stórais é an leath teastais. Glacann -MachineCertificateIssuerFilter réad teastais, agus úsáideann Windows é chun teastas cliaint inúsáidte a aimsiú i LocalMachine\My. Teastaíonn eochair phríobháideach agus slabhra a bhfuil muinín ag an bhfreastalaí as ón teastas; nuair a bhíonn ceachtar acu ar iarraidh teipeann an fhíordheimhniú gan mionsonraí úsáideacha, mar sin seiceáil an stór ar dtús:

Get-ChildItem Cert:\LocalMachine\My |
  Where-Object { $_.HasPrivateKey -and $_.NotAfter -gt (Get-Date) } |
  Select-Object Subject, Issuer, Thumbprint, NotAfter

Coinnigh rúin as an gcomhad scripte. Críochnaíonn PSK a thugtar ar an líne ordaithe nó a bhácáiltear in .ps1 i dtras-scríbhinní, i seisiúin shábháilte agus i stórtha comhroinnte, agus cuireann -RememberCredential dintiúir an úsáideora i dtaisce le haghaidh níos déanaí, rud a iompaíonn tástáil aonuaire ina cheadú buan.

Céim 4: Socraigh an raon roimh an gcéad rith

Scríobhann an cmdlet céanna chuig dhá leabhar teileafóin éagsúla. Gan -AllUserConnection is leatsa an phróifíl agus tá sí faoi %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk. Leis, ó shlí ordaithe ardaithe, téann an phróifíl go %ProgramData%\Microsoft\Network\Connections\Pbk\rasphone.pbk agus bíonn sí le feiceáil ag gach cuntas, an scáileán sínithe isteach san áireamh.

Ní rud cosmaideach é an raon. Is é próifíl uile-úsáideora an rud is féidir le cuntas seirbhíse, tasc sceidealaithe nó cás réamhlogála a úsáid; tá próifíl in aghaidh an úsáideora dofheicthe do na trí cinn. Léitear na réada ar bhealaí éagsúla freisin: liostaíonn Get-VpnConnection iontrálacha an úsáideora reatha, liostaíonn Get-VpnConnection -AllUserConnection na cinn ar fud an mheaisín. Roghnaigh ceann anois, agus caith le haon athrú níos déanaí mar scriosadh agus athchruthú seachas mar eagarthóireacht:

# elevated prompt
Remove-VpnConnection -Name "Corp IKEv2" -Force
Add-VpnConnection -Name "Corp IKEv2" -ServerAddress "vpn.example.com" `
  -TunnelType Ikev2 -AuthenticationMethod MachineCertificate `
  -EncryptionLevel Required -AllUserConnection

Céim 5: Tástáil a bhfuil ar thollán a sheachadadh i ndáiríre

Ní chruthaíonn deilbhín nasctha ach go bhfuil an tollán in airde agus aon rud eile. Nasc ón líne ordaithe ar dtús ionas go dtiocfaidh teipeanna mar théacs, ní mar chomhphlé, ansin léigh siar an méid a thaifead Windows:

rasdial "Corp IKEv2"
Get-VpnConnection -Name "Corp IKEv2" |
  Select-Object Name, ServerAddress, TunnelType, ConnectionStatus, SplitTunneling
Get-NetRoute -DestinationPrefix "0.0.0.0/0"

Is iad an DNS agus an ródú an dá theip a thuairiscíonn úsáideoirí agus an stádas fós ag rá Connected. Réitigh ainm inmheánach agus seiceáil cén freastalaí a d'fhreagair; is féidir le próifíl gan -DnsSuffix tollánú go foirfe agus mainneachtain i ngach cuardach inlíon fós. Ansin féach ar an mbealach réamhshocraithe: le split tunneling as, ba cheart don bhealach 0.0.0.0/0 leis an meadaracht is ísle pointeáil isteach sa chomhéadan VPN, agus leis air, ní ba cheart ach do na réimíreanna a bhfuil tú ag súil leo. Má tá an dá rud ceart agus an trácht fós ag fáil bháis, tá an fhadhb thar an bpróifíl, sa bheartas nó i scagaire an gheata.

Nuair a theipeann an nasc go hiomlán, cúngaíonn an cód an chéim le filleadh uirthi:

• 691: dhiúltaigh an geata do na dintiúir. Fill ar chéim 3, ní ar an tollán.
• 809: níor críochnaíodh croitheadh lámh IKEv2 riamh. Seiceáil UDP 500 agus 4500, agus muinín an teastais.
• 789: tá an heochair réamhroinnte L2TP/IPsec ar iarraidh nó mícheart.
• 868: níor réitíodh ainm an fhreastalaí. Deisigh DNS sula n-athraíonn tú an phróifíl.

Coinnigh an t-ordú atá ag obair in aice leis na socruithe a chódaíonn sé, ionas gur féidir leis an gcéad duine eile atógáil in ionad an phróifíl a aisiompú ón gcomhéadan. Má chaithfidh tú atógáil, scrios an iontráil agus cruthaigh arís í leis na paraiméadair chéanna; fágann paistí ar phróifíl leathchumraithe bealaí sean agus staid fhíordheimhnithe ina ndiaidh. Agus mura raibh an comhad dúchasach riamh, fill ar an gcliant lena mbaineann sé. Ní iompórtáil é .ovpn atá gléasta mar phróifíl IKEv2, is ticéad tacaíochta é.