Skriptirajte Azure P2S VPN profil za svakog korisnika sustava Windows

Ručna podjela Azure point-to-site paketa funkcionira na pet prijenosnika, a raspada se na pedeset. Skriptirani put ima dvije zamke, a svaka stoji po jedno poslijepodne: pogreška u parametru koja izgleda kao kvar certifikata i ruta koju veza nikad ne instalira, čak i kad je sve ostalo ispravno. Ni jedna se ne rješava ponovnim preuzimanjem klijentskog paketa. Prođite provjere u nastavku redom i zaustavite se na prvoj koja padne.

Redoslijed držim čvrsto jer svaki korak pretpostavlja da je prethodni točan.

1. Ispravite opseg profila prije prvog uređaja

Profil za sve korisnike živi na računalu i pojavljuje se u svakoj sesiji. Profil po korisniku slijedi jedan račun i čuva njegove vjerodajnice u kontekstu tog računa. Odaberite jedan i ostanite kod njega jer računalo s oba prikazuje dva unosa s istim imenom, a korisnici se povezuju s onim koji se pojavi prvi. Promjena opsega kasnije znači prvo ukloniti stari profil umjesto uređivanja na licu mjesta.

Profili za sve korisnike prikladni su za dijeljene uređaje i kioske gdje se nitko ne prijavljuje osobnim računom. Oni su pogrešna zadana postavka kada se certifikat izdaje po osobi, budući da profil na razini računala ne može predstaviti vjerodajnicu koja pripada nekome drugom. Zapišite odabir u zapisnik o uvođenju prije nego postoji drugi prijenosnik.

2. Predajte prekidače kao prekidače

Add-VpnConnection prima parametre prekidača koji ili postoje ili ne postoje. Predavanje $true na njih podiže pogrešku EapConfigXmlStream, zato toliko rasprava o tome završi pregledom lanaca certifikata koji nikada nisu bili problem.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Adresa pristupnika gore je ilustrativna; uzmite pravu iz preuzetog paketa i držite je u navodnicima. -AllUserConnection zahtijeva povišenu sesiju, a profil koji stvara ima opseg računala čak i kad ste naredbu pokrenuli kao administrator. Pročitajte skup parametara pomoću Get-Help Add-VpnConnection -Parameter * prije dodavanja novih prekidača.

3. Dodajte rutu koju adapter ne dodaje

Adapter za point-to-site instalira rutu za skup adresa klijenta i ništa više.

Prefiks virtualne mreže izvan tog skupa ostaje nedostupan dok tunel još javlja Connected, a to je najzbunjujući kvar u ovom tijeku rada. Dodajte rutu izričito nakon što veza uspije i usmjerite je na adresu sučelja koju je adapter dobio, a ne na javno ime pristupnika. Ta adresa dolazi iz ipconfiga nakon povezivanja i mijenja se između sesija.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Izbrišite rutu pri odspajanju kako zastarjeli sljedeći skok ne bi kasnije promet poslao u crnu rupu. Tretirajte naredbu kao dokumentirano lokalno odstupanje: ako buduće izdanje klijenta samo doda rutu, vaš redak postaje duplikat koji se natječe s vlastitim sljedećim skokom paketa.

4. Provjerite kao standardni korisnik

Administratorska sesija skriva pogreške opsega jer povišenje ponekad pruža vjerodajnicu koju stvarni korisnik ne bi imao.

Prijavite se kao neadministrator, povežite se preko profila i isprobajte jednu privatnu uslugu umjesto javnog interneta. Potvrdite da se profil pojavljuje u Get-VpnConnection -AllUserConnection, da stanje dosegne Connected i da dodana ruta pokazuje na trenutačnu adresu adaptera. Zatim uspavajte računalo, probudite ga i ponovno usporedite ipconfig.

5. Uklonite loše uvođenje čisto

Remove-VpnConnection s -AllUserConnection i -Force briše profil na razini računala. Force je važan jer povezani profil inače odbija uklanjanje, a napola uklonjen profil teže je dijagnosticirati od čiste ponovne instalacije.

Držite ime profila, adresu pristupnika i dodane rute u bilješkama o uvođenju. Te tri vrijednosti treba poziv korisničkoj podršci prije nego itko otvori zahtjev, a treba ih i sljedeća skripta kada se adresa pristupnika promijeni. Dodajte verziju klijentskog paketa u istu bilješku jer ponašanje rute pripada tom paketu, a ne Windowsu.