IKEv2 VPN létrehozása PowerShellben gépi tanúsítvánnyal

A Windows IKEv2 klienst biztosít, amelyet a PowerShell elejétől a végéig vezérel, így egy működő alagúthoz nem kell grafikus felület vagy harmadik féltől származó szoftver. Szinte minden hiba három helyről jön: hová került a tanúsítvány, hogyan írták meg az útvonal-előtagokat, és mit vár a kiválasztott EAP módszer. Ebben a sorrendben foglalkozzon velük, mert mindegyik ellenőrizhető, mielőtt a következő elkezdődik, és egy későbbi hiba elrejti a korábbit.

A gépi tanúsítványos alagutak azért léteznek, hogy bárki bejelentkezése előtt elinduljanak, ezért az identitásnak általában a számítógép tárolójában kell lennie, nem egy felhasználóéban.

Előbb a tanúsítvány, aztán az alagút

Két import számít. Az ügyfél identitása a Cert:\LocalMachine\My helyre kerül a Import-PfxCertificate segítségével, a kibocsátó CA pedig a Cert:\LocalMachine\Root helyre a Import-Certificate segítségével. Egy levéltanúsítvány önmagában nem bizonyít láncot, így a második import kihagyása alap nélkül hagyja az ellenőrzést. A jelenléten túl a titkos kulcsot csatolni kell, és a számítógépfióknak engedélyezni kell az olvasását. A Get-ChildItem Cert:\LocalMachine\My felsorolja, mi érkezett meg; ujjlenyomatokat hasonlítson össze, ne tárgyakat, mert a közel azonos tárgyak gyakoriak.

A telepítés előtt ellenőrizze a kiterjesztett kulcshasználatot. Az ügyfél-hitelesítés a szokásos követelmény egy IKEv2 gépi identitás esetén, és a másik félnek meg kell bíznia a tanúsítványt aláíró CA-ban. A felhasználói tárolóban lévő identitás számítógép-kontextusú kapcsolat számára nem létezik.

Hozza létre a profilt és annak útvonalait

A Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection írja a profilt. A -AllUserConnection kapcsoló a globális telefonkönyvben teszi közzé, ami megosztott vagy szolgáltatás által kezelt géphez megfelelő; egyetlen felhasználó esetén hagyja el. Bármilyen címet is ad át, annak meg kell egyeznie a kiszolgáló tanúsítványában szereplő DNS-névvel, különben a hiba csak akkor jelenik meg, amikor az alagút már áll. Ezután az előtagokat egyenként hozzáadja a Add-VpnConnectionRoute segítségével, és csak azokat, amelyekre a tervezésnek valóban szüksége van.

Az IPv6-nak van egy különlegessége: a Windows elutasítja a ::/0 előtagot VPN-útvonalként, ezért a ::/1 és a 8000::/1 együtt ugyanazt a címteret fedi le. Egy előtag útvonalazása a távoli tűzfalon sem ad semmit, ezért az előtaglista és a tűzfal házirendje külön dokumentum marad.

A hitelesítő adatok a hitelesítési módszerhez tartoznak

A gépi tanúsítványos profil egyáltalán nem igényel felhasználói titkot, az EAP-MSCHAPv2 profil viszont igen. A második esetben a VPNCredentialsHelper modul biztosítja a Set-VpnConnectionUsernamePassword parancsot, és sima szöveget kér: a $cred.Password egy SecureString, ezért először a GetNetworkCredential().Password segítségével csomagolja ki. A modult mindenhol telepítse, ahol a parancs fut, nem csak azon a munkaállomáson, ahol megírták. Az EAP-TLS vagy egy egyéni módszer egyáltalán nem használja ezt a cmdletet; helyette EAP-konfigurációs XML-t vesz át.

A rasdial "Office IKEv2" héjból hozza fel a kapcsolatot, ami a leggyorsabb módja annak, hogy az eredményt előtérben lássa eseménynapló helyett.

Mit nem bizonyít egy csatlakozott alagút

A csatlakozott állapot az IKE-cserét és a hitelesítési lépést fedi le, és semmi többet. A DNS-viselkedés, a privát gazdagéphez vezető út és a távoli tűzfal mind még bizonyítatlan. Kifelé haladjon: az alagút-adapter, aztán útvonalkeresés egy privát címhez, aztán egy szolgáltatás, amelynek használatára jogosult. Az első megfigyelés, amely elbukik, jelzi a vizsgálandó réteget.

Amikor módosít egy profilt, törölje az előzőt a Remove-VpnConnection -Name "Office IKEv2" -Force segítségével, mielőtt újra létrehozná; különben elavult beállítások és útvonalak maradnak a szerkesztés után. Ha még mindig nem csatlakozik, hasonlítsa össze a profilban rögzített ujjlenyomatot a tárolóban lévővel, mert a Windows hivatkozást tarthat olyan identitásra, amelyet közben változatlan tárgy alatt lecseréltek.

Tartsa az ujjlenyomatot, az EAP módszert és az útvonallistát a profil mellett. Együtt ezek magyarázzák a legtöbbet abból, ami később rosszul sül el.