VPN IKEv2 a thógáil i PowerShell le teastas meaisín

Seolann Windows cliant IKEv2 a rialaíonn PowerShell ó thús go deireadh, mar sin ní theastaíonn GUI ná bogearraí tríú páirtí ó thollán atá ag obair. Tagann beagnach gach teip ó thrí áit: cá ndeachaigh an teastas, conas a scríobhadh réimíreanna an bhealaigh, agus cad a bhfuil súil ag an modh EAP roghnaithe leis. Láimhseáil iad san ord sin, mar is féidir gach ceann a sheiceáil sula dtosaíonn an chéad cheann eile agus cuirfidh earráid níos déanaí ceann níos luaithe i bhfolach.

Tá tolláin theastas meaisín ann chun tosú sula logáil aon duine isteach, agus is é sin an fáth go gcaithfidh an fhéiniúlacht a bheith i stór an ríomhaire go hiondúil seachas i stór úsáideora.

An teastas ar dtús, an tollán ina dhiaidh

Tá dhá iompórtáil tábhachtach. Téann féiniúlacht an chliaint isteach i Cert:\LocalMachine\My trí Import-PfxCertificate, agus téann an CA eisitheach isteach i Cert:\LocalMachine\Root trí Import-Certificate. Ní chruthaíonn duilleog léi féin aon slabhra, mar sin má scipeáiltear an dara hiompórtáil fágfar an fhíorú gan aon rud le tógáil air. Seachas a bheith i láthair, caithfidh an eochair phríobháideach a bheith ceangailte agus caithfidh cead a bheith ag cuntas an ríomhaire í a léamh. Liostaíonn Get-ChildItem Cert:\LocalMachine\My a bhfuair tú; déan comparáid idir méarloirg seachas ábhair, mar is coitianta ábhair atá beagnach mar an gcéanna.

Seiceáil úsáid leathnaithe na heochrach sula ndéanann tú imscaradh. Is é fíordheimhniú cliaint an ghnáthriachtanas d'fhéiniúlacht mheaisín IKEv2, agus caithfidh muinín a bheith ag an taobh thall as an CA a shínigh í. Níl aon fhéiniúlacht i stór úsáideora ann i gcás ceangal i gcomhthéacs ríomhaire.

Cruthaigh an phróifíl agus a bealaí

Scríobhann Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection an phróifíl. Foilsíonn an lasc -AllUserConnection í sa leabhar teileafóin domhanda, rud atá oiriúnach do bhosca comhroinnte nó arna bhainistiú ag seirbhís; fág amach í le haghaidh aon úsáideora amháin. Cibé seoladh a chuireann tú ar aghaidh, caithfidh sé teacht le hainm DNS i dteastas an fhreastalaí, nó eile tagann an teip chun solais tar éis an tollán a bheith suas cheana. Ansin cuirtear réimíreanna leis ceann ar cheann le Add-VpnConnectionRoute, agus gan ach na cinn a bhfuil gá iarbhír ag an dearadh leo.

Tá aisteachas ag IPv6: diúltaíonn Windows do ::/0 mar bhealach VPN, mar sin clúdaíonn ::/1 agus 8000::/1 le chéile an spás seoladh céanna. Ní thugann ródú réimír aon rud don bhalla dóiteáin chianda ach an oiread, mar sin fanann an liosta réimíreanna agus an polasaí balla dóiteáin ina ndoiciméid ar leith.

Baineann na dintiúir leis an modh fíordheimhniúcháin

Ní theastaíonn aon rún úsáideora ó phróifíl teastais mheaisín, ach teastaíonn ó phróifíl EAP-MSCHAPv2. Sa dara cás soláthraíonn an modúl VPNCredentialsHelper Set-VpnConnectionUsernamePassword, agus teastaíonn gnáth-théacs uaidh: is SecureString é $cred.Password, mar sin díphacáil ar dtús é le GetNetworkCredential().Password. Suiteáil an modúl pé áit a ritheann an t-ordú, ní hamháin ar an stáisiún oibre inar dréachtaíodh é. Ní úsáideann EAP-TLS ná modh saincheaptha an cmdlet seo ar chor ar bith; tógann sé XML cumraíochta EAP ina ionad.

Ardaíonn rasdial "Office IKEv2" an ceangal ó bhlaosc, agus is é sin an bealach is tapúla chun an toradh a fheiceáil sa tulra seach i log imeachtaí.

Cad nach gcruthaíonn tollán ceangailte

Clúdaíonn stádas ceangailte an mhalartú IKE agus an chéim fíordheimhniúcháin, agus aon rud eile. Tá iompar DNS, an bealach chuig óstach príobháideach agus an balla dóiteáin cianda go léir gan chruthú fós. Oibrigh amach: an t-oiriúnóir tolláin, ansin cuardach bealaigh do sheoladh príobháideach, ansin seirbhís amháin a bhfuil cead agat a úsáid. Aithnítear an ciseal atá le hiniúchadh ón gcéad bhreathnú a theipeann.

Nuair a athraíonn tú próifíl, scrios an ceann roimhe le Remove-VpnConnection -Name "Office IKEv2" -Force sula ndéantar í a athchruthú; mura ndéanfaidh, fanfaidh socruithe agus bealaí sean tríd an eagarthóireacht. Mura nascfaidh sé fós, déan comparáid idir an mhéarlorg atá taifeadta sa phróifíl agus an ceann atá sa stór, mar is féidir le Windows tagairt a choinneáil d'fhéiniúlacht a athsholáthródh idir an dá linn faoi ábhar gan athrú.

Coinnigh an mhéarlorg, an modh EAP agus an liosta bealaí in aice leis an bpróifíl. Le chéile míníonn siad an chuid is mó den mhéid a théann in olcas níos déanaí.