Izradite IKEv2 VPN u PowerShellu s certifikatom računala

Windows dolazi s IKEv2 klijentom kojim PowerShell upravlja od početka do kraja, pa ispravan tunel ne treba ni GUI ni softver treće strane. Gotovo svaki neuspjeh dolazi s tri mjesta: gdje je certifikat završio, kako su zapisani prefiksi ruta i što odabrana EAP metoda očekuje. Riješite ih tim redom, jer se svaki može provjeriti prije nego počne sljedeći, a kasnija će pogreška prikriti raniju.

Tuneli s certifikatom računala postoje kako bi se pokrenuli prije nego se itko prijavi, zato identitet obično mora živjeti u spremištu računala, a ne korisnika.

Prvo certifikat, pa tunel

Bitna su dva uvoza. Identitet klijenta ide u Cert:\LocalMachine\My putem Import-PfxCertificate, a izdavatelj CA ide u Cert:\LocalMachine\Root putem Import-Certificate. Sam lisni certifikat ne dokazuje nikakav lanac, pa preskakanje drugog uvoza ostavlja provjeru bez osnove. Osim prisutnosti, privatni ključ mora biti pridružen i računu računala mora biti dopušteno da ga čita. Get-ChildItem Cert:\LocalMachine\My navodi što je stiglo; uspoređujte otiske, a ne subjekte, jer su gotovo identični subjekti česti.

Provjerite proširenu namjenu ključa prije primjene. Autentifikacija klijenta uobičajen je uvjet za IKEv2 identitet računala, a druga strana mora vjerovati CA-u koji ga je potpisao. Identitet u korisničkom spremištu ne postoji za vezu u kontekstu računala.

Stvorite profil i njegove rute

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection zapisuje profil. Prekidač -AllUserConnection objavljuje ga u globalnom imeniku, što odgovara dijeljenom ili servisno vođenom računalu; izostavite ga za jednog korisnika. Koju god adresu proslijedite, mora odgovarati DNS imenu u certifikatu poslužitelja, inače se pogreška pojavljuje nakon što je tunel već podignut. Zatim se prefiksi dodaju jedan po jedan pomoću Add-VpnConnectionRoute, i to samo oni koji su dizajnu doista potrebni.

IPv6 ima osobitost: Windows odbija ::/0 kao VPN rutu, pa ::/1 i 8000::/1 zajedno pokrivaju isti adresni prostor. Usmjeravanje prefiksa također ne daje ništa na udaljenom vatrozidu, pa popis prefiksa i pravila vatrozida ostaju odvojeni dokumenti.

Vjerodajnice pripadaju metodi autentifikacije

Profil s certifikatom računala uopće ne treba korisničku tajnu, dok profil EAP-MSCHAPv2 treba. Za drugi slučaj modul VPNCredentialsHelper pruža Set-VpnConnectionUsernamePassword i traži običan tekst: $cred.Password je SecureString, pa ga prvo raspakirajte pomoću GetNetworkCredential().Password. Instalirajte modul gdje god se naredba izvršava, ne samo na radnoj stanici na kojoj je sastavljena. EAP-TLS ili prilagođena metoda uopće ne koristi ovaj cmdlet; umjesto toga prima EAP konfiguracijski XML.

rasdial "Office IKEv2" podiže vezu iz ljuske, što je najbrži način da rezultat vidite u prvom planu, a ne u zapisniku događaja.

Što povezani tunel ne dokazuje

Status povezanosti pokriva IKE razmjenu i korak autentifikacije i ništa više. Ponašanje DNS-a, put do privatnog hosta i udaljeni vatrozid još su nedokazani. Radite prema van: adapter tunela, zatim traženje rute za privatnu adresu, zatim jedna usluga koju smijete koristiti. Prvo opažanje koje padne označava sloj koji treba istražiti.

Kada mijenjate profil, obrišite prethodni pomoću Remove-VpnConnection -Name "Office IKEv2" -Force prije nego ga ponovno stvorite; inače zastarjele postavke i rute ostaju kroz izmjenu. Ako se i dalje ne povezuje, usporedite otisak zapisan u profilu s onim u spremištu, jer Windows može držati referencu na identitet koji je u međuvremenu zamijenjen pod nepromijenjenim subjektom.

Držite otisak, EAP metodu i popis ruta uz profil. Zajedno objašnjavaju većinu onoga što kasnije pođe po zlu.