כתבו סקריפט של פרופיל VPN P2S ב-Azure לכל משתמש Windows

חלוקת חבילת Azure מנקודה לאתר עובדת בחמישה מחשבים ניידים ומתפרקת בחמישים. למסלול הסקריפט יש שתי מלכודות, כל אחת עולה אחר צהריים: שגיאת פרמטר שנראית כמו כשל תעודה, ומסלול שהחיבור אינו מתקין לעולם, גם כשכל השאר תקין. אף אחת מהן אינה מתוקנת בהורדה חוזרת של חבילת הלקוח. בצעו את הבדיקות שלהלן לפי הסדר ועצרו בראשונה שנכשלת.

אני שומר על הסדר קבוע כי כל שלב מניח שהקודם נכון.

1. תקנו את היקף הפרופיל לפני ההתקן הראשון

פרופיל לכל המשתמשים חי על המחשב ומופיע בכל הפעלה. פרופיל לכל משתמש עוקב אחרי חשבון אחד ושומר את פרטי ההזדהות שלו בהקשר של אותו חשבון. בחרו אחד והיצמדו אליו, כי מחשב שנושא את שניהם מציג שתי רשומות באותו שם, ומשתמשים מתחברים לזו שמופיעה ראשונה. שינוי ההיקף מאוחר יותר פירושו הסרת הפרופיל הישן תחילה ולא עריכתו במקום.

פרופילים לכל המשתמשים מתאימים להתקנים משותפים ולעמדות שבהן איש אינו נכנס עם חשבון אישי. הם ברירת המחדל השגויה כשהתעודה מונפקת לפי אדם, מכיוון שפרופיל בהיקף המחשב אינו יכול להציג פרטי הזדהות השייכים למישהו אחר. כתבו את הבחירה ברשומת הפריסה לפני שהמחשב הנייד השני קיים.

2. העבירו מתגים כמתגים

Add-VpnConnection מקבל פרמטרי מתג שהם או נוכחים או חסרים. העברת $true אליהם מפעילה שגיאת EapConfigXmlStream, ולכן כל כך הרבה דיונים בנושא מסתיימים בבדיקת שרשראות תעודות שמעולם לא היו הבעיה.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

כתובת השער שלמעלה היא להמחשה; קחו את האמיתית מהחבילה שהורדתם והשאירו אותה במירכאות. -AllUserConnection דורש הפעלה מוגבהת, והפרופיל שהוא יוצר הוא בהיקף המחשב גם אם הרצתם את הפקודה כמנהל. קראו את מערך הפרמטרים עם Get-Help Add-VpnConnection -Parameter * לפני שתוסיפו מתגים נוספים.

3. הוסיפו את המסלול שהמתאם אינו מוסיף

מתאם הנקודה לאתר מתקין מסלול עבור מאגר כתובות הלקוח ותו לא.

קידומת של רשת וירטואלית מחוץ למאגר הזה נשארת בלתי נגישה בזמן שהמנהרה עדיין מדווחת Connected, וזהו הכשל המבלבל ביותר בתהליך העבודה הזה. הוסיפו את המסלול במפורש לאחר שהחיבור מצליח, וכונו אותו לכתובת הממשק שקיבל המתאם ולא לשם השער הציבורי. הכתובת הזו מגיעה מ-ipconfig אחרי החיבור, והיא משתנה בין הפעלות.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

מחקו את המסלול בניתוק כדי שדילוג הבא מיושן לא יוכל לשלוח תעבורה לחור שחור מאוחר יותר. התייחסו לפקודה כאל סטייה מקומית מתועדת: אם מהדורת לקוח עתידית תוסיף את המסלול בעצמה, השורה שלכם תהפוך לכפילות שמתחרה בדילוג הבא של החבילה עצמה.

4. אמתו כמשתמש רגיל

הפעלה של מנהל מסתירה שגיאות היקף, כי הגבהה מספקת לפעמים פרטי הזדהות שלא היו למשתמש האמיתי.

היכנסו כמשתמש שאינו מנהל, התחברו דרך הפרופיל ובדקו שירות פרטי אחד במקום האינטרנט הציבורי. אשרו שהפרופיל מופיע ב-Get-VpnConnection -AllUserConnection, שהמצב מגיע ל-Connected, ושהמסלול שהוספתם מצביע לכתובת המתאם הנוכחית. אחר כך העבירו את המחשב לשינה, העירו אותו והשוו שוב את ipconfig.

5. הסירו פריסה גרועה בצורה נקייה

Remove-VpnConnection עם -AllUserConnection ו-Force מוחק את הפרופיל בהיקף המחשב. Force חשוב כי פרופיל מחובר מסרב אחרת להסרה, ופרופיל שהוסר למחצה קשה יותר לאבחון מאשר התקנה מחדש נקייה.

שמרו את שם הפרופיל, כתובת השער והמסלולים שהוספתם בהערות הפריסה. שלושת הערכים האלה הם מה ששיחת תמיכה צריכה לפני שמישהו פותח קריאה, והם גם מה שהסקריפט הבא צריך כשכתובת השער משתנה. הוסיפו את גרסת חבילת הלקוח לאותה הערה, כי התנהגות המסלול שייכת לחבילה ההיא ולא ל-Windows.