Scripta un perfil de VPN P2S de Azure para cada usuario de Windows

Repartir un paquete de punto a sitio de Azure funciona con cinco portátiles e desmorónase con cincuenta. A ruta con script ten dúas trampas que custan unha tarde cada unha: un erro de parámetro que parece un fallo de certificado, e unha ruta que a conexión nunca instala aínda que todo o demais estea ben. Ningunha das dúas se arranxa descargando de novo o paquete de cliente. Fai as comprobacións seguintes en orde e detente na primeira que falle.

Manteño a orde fixa porque cada paso dá por feito que o anterior é certo.

1. Corrixe o ámbito do perfil antes do primeiro dispositivo

Un perfil para todos os usuarios vive na máquina e aparece en todas as sesións. Un perfil por usuario segue unha conta e garda as súas credenciais no contexto desa conta. Escolle un e quédate con el, porque unha máquina con ambos mostra dúas entradas co mesmo nome, e os usuarios conéctanse á que aparece primeiro. Cambiar o ámbito máis adiante significa quitar primeiro o perfil antigo en lugar de editalo no seu sitio.

Os perfís para todos os usuarios encaixan en dispositivos compartidos e de quiosco onde ninguén inicia sesión cunha conta persoal. Son o valor predeterminado incorrecto cando o certificado se emite por persoa, xa que un perfil de ámbito de máquina non pode presentar unha credencial que pertence a outra persoa. Escribe a elección no rexistro de despregamento antes de que exista o segundo portátil.

2. Pasa os conmutadores como conmutadores

Add-VpnConnection acepta parámetros conmutadores que ou están presentes ou non. Pasarlle $true provoca un erro EapConfigXmlStream, e por iso tantos fíos sobre isto acaban inspeccionando cadeas de certificados que nunca foron o problema.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

O enderezo de porta de enlace de arriba é ilustrativo; toma o real do paquete descargado e manteno entre comiñas. -AllUserConnection require unha sesión elevada, e o perfil que crea é de ámbito de máquina aínda que executases o comando como administrador. Le o conxunto de parámetros con Get-Help Add-VpnConnection -Parameter * antes de engadir máis conmutadores.

3. Engade a ruta que o adaptador non engade

O adaptador de punto a sitio instala unha ruta para o grupo de enderezos do cliente e nada máis.

Un prefixo de rede virtual fóra dese grupo queda inalcanzable mentres o túnel segue informando Connected, que é o fallo máis confuso deste fluxo de traballo. Engade a ruta explicitamente despois de que a conexión se realice, e apunta á dirección de interface que recibiu o adaptador en lugar do nome público da porta de enlace. Esa dirección vén de ipconfig tras conectar, e cambia entre sesións.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Borra a ruta ao desconectar para que un seguinte salto obsoleto non poida converter máis tarde o tráfico nun burato negro. Trata o comando como unha desviación local documentada: se unha versión futura do cliente engade a ruta por si mesma, a túa liña convértese nun duplicado que compite co seguinte salto propio do paquete.

4. Verifica como usuario estándar

Unha sesión de administrador oculta erros de ámbito, porque a elevación ás veces proporciona unha credencial que o usuario real non tería.

Inicia sesión como non administrador, conéctate a través do perfil e proba un servizo privado en lugar de internet público. Confirma que o perfil aparece en Get-VpnConnection -AllUserConnection, que o estado chega a Connected e que a ruta engadida apunta á dirección actual do adaptador. Despois suspende a máquina, despertaa e compara ipconfig de novo.

5. Retira un despregamento defectuoso con limpeza

Remove-VpnConnection con -AllUserConnection e -Force elimina o perfil de ámbito de máquina. Force importa porque un perfil conectado négase doutro modo a eliminarse, e un perfil a medio eliminar é máis difícil de diagnosticar que unha reinstalación limpa.

Garda o nome do perfil, o enderezo de porta de enlace e as rutas engadidas nas notas de despregamento. Eses tres valores son o que necesita unha chamada ao servizo de asistencia antes de que alguén abra un tíket, e tamén son o que necesita o seguinte script cando cambia o enderezo de porta de enlace. Engade a versión do paquete de cliente á mesma nota, porque o comportamento da ruta pertence a ese paquete e non a Windows.