Cree unha VPN IKEv2 en PowerShell cun certificado de máquina

Windows inclúe un cliente IKEv2 que PowerShell controla de principio a fin, así que un túnel funcional non necesita nin interface gráfica nin software de terceiros. Case todos os fallos proveñen de tres lugares: onde acabou o certificado, como se escribiron os prefixos de ruta e que espera o método EAP escollido. Abórdeos nesa orde, porque cada un é comprobable antes de que comece o seguinte e un erro posterior ocultará un anterior.

Os túneles con certificado de máquina existen para arrincar antes de que ninguén inicie sesión, por iso a identidade normalmente debe vivir no almacén do equipo e non no dun usuario.

Primeiro o certificado, despois o túnel

Dúas importacións importan. A identidade do cliente vai a Cert:\LocalMachine\My mediante Import-PfxCertificate, e a CA emisora vai a Cert:\LocalMachine\Root mediante Import-Certificate. Un certificado folla por si só non demostra ningunha cadea, así que saltar a segunda importación deixa a verificación sen nada sobre o que construír. Máis alá da presenza, a clave privada debe estar adxunta e a conta de equipo debe poder lela. Get-ChildItem Cert:\LocalMachine\My enumera o que chegou; compare impresións dixitais en lugar de suxeitos, porque os suxeitos case idénticos son habituais.

Comprobe o uso estendido da clave antes de despregar. A autenticación de cliente é o requisito habitual para unha identidade de máquina IKEv2, e o outro lado debe confiar na CA que a asinou. Unha identidade no almacén dun usuario non existe para unha conexión en contexto de equipo.

Cree o perfil e as súas rutas

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection escribe o perfil. O conmutador -AllUserConnection publícao na axenda telefónica global, axeitado para un equipo compartido ou xestionado como servizo; omítao para un único usuario. Calquera enderezo que pase debe coincidir co nome DNS do certificado do servidor, se non, o fallo aparece cando o túnel xa está levantado. Despois engádense os prefixos un a un con Add-VpnConnectionRoute, e só os que o deseño necesita de verdade.

IPv6 ten unha peculiaridade: Windows rexeita ::/0 como ruta VPN, así que ::/1 e 8000::/1 xuntos cobren o mesmo espazo de enderezos. Encamiñar un prefixo tampouco concede nada no devasas remoto, así que a lista de prefixos e a política do devasas seguen sendo documentos separados.

As credenciais pertencen ao método de autenticación

Un perfil con certificado de máquina non necesita ningún segredo de usuario, mentres que un perfil EAP-MSCHAPv2 si. Para o segundo caso o módulo VPNCredentialsHelper proporciona Set-VpnConnectionUsernamePassword, e quere texto simple: $cred.Password é un SecureString, así que desenvólvao primeiro con GetNetworkCredential().Password. Instale o módulo alí onde se execute o comando, non só na estación onde se redactou. EAP-TLS ou un método personalizado non usan este cmdlet en absoluto; no seu lugar toman un XML de configuración EAP.

rasdial "Office IKEv2" levanta a conexión desde unha consola, que é a forma máis rápida de ver o resultado en primeiro plano en lugar de nun rexistro de eventos.

O que un túnel conectado non demostra

O estado conectado cobre o intercambio IKE e o paso de autenticación, e nada máis. O comportamento de DNS, a ruta ata un host privado e o devasas remoto seguen todos sen demostrar. Traballa cara a fóra: o adaptador do túnel, despois unha consulta de ruta para un enderezo privado, despois un servizo que teñas permitido. A primeira observación que falla identifica a capa que hai que investigar.

Cando cambie un perfil, elimine o anterior con Remove-VpnConnection -Name "Office IKEv2" -Force antes de volvelo crear; se non, os axustes e rutas obsoletos persisten despois da edición. Se aínda non conecta, compare a impresión dixital rexistrada no perfil coa presente no almacén, porque Windows pode manter unha referencia a unha identidade que desde entón foi substituída baixo un suxeito sen cambios.

Teña a impresión dixital, o método EAP e a lista de rutas xunto ao perfil. Xuntos explican a maior parte do que falla despois.