IKEv2 VPN-ի ստեղծում PowerShell-ում մեքենայի վկայագրով

Windows-ը տալիս է IKEv2 հաճախորդ, որը PowerShell-ը կառավարում է սկզբից մինչև վերջ, ուստի աշխատող թունելին ոչ GUI է պետք, ոչ էլ երրորդ կողմի ծրագրաշար։ Գրեթե ամեն ձախողում գալիս է երեք տեղից՝ որտեղ հայտնվեց վկայագիրը, ինչպես գրվեցին երթուղու նախածանցները և ինչ է սպասում ընտրված EAP մեթոդը։ Դրանց անդրադարձեք այդ հերթականությամբ, քանի որ յուրաքանչյուրը ստուգելի է հաջորդի մեկնարկից առաջ, և ավելի ուշ սխալը կծածկի ավելի վաղը։

Մեքենայի վկայագրով թունելները գոյություն ունեն, որ մեկնարկեն մինչև որևէ մեկի մուտք գործելը, դրա համար էլ ինքնությունը սովորաբար պետք է ապրի համակարգչի պահոցում, ոչ թե օգտվողի։

Սկզբում վկայագիրը, հետո թունելը

Երկու ներմուծում կարևոր է։ Հաճախորդի ինքնությունը գնում է Cert:\LocalMachine\My՝ Import-PfxCertificate-ի միջոցով, իսկ թողարկող CA-ն գնում է Cert:\LocalMachine\Root՝ Import-Certificate-ի միջոցով։ Մեկ տերև վկայագիր ինքնին շղթա չի ապացուցում, ուստի երկրորդ ներմուծումը բաց թողնելը ստուգումը թողնում է առանց հիմքի։ Բացի առկայությունից, գաղտնի բանալին պետք է կցված լինի, և համակարգչի հաշվին պետք է թույլատրվի կարդալ այն։ Get-ChildItem Cert:\LocalMachine\My-ը թվարկում է, թե ինչ ժամանեց։ Համեմատեք մատնահետքերը, ոչ թե սուբյեկտները, քանի որ գրեթե նույնական սուբյեկտները սովորական են։

Նախքան տեղակայելը ստուգեք բանալու ընդլայնված օգտագործումը։ IKEv2 մեքենայի ինքնության համար սովորաբար պահանջվում է հաճախորդի վավերացում, և մյուս կողմը պետք է վստահի այն CA-ին, որը ստորագրել է այն։ Օգտվողի պահոցում գտնվող ինքնությունը գոյություն չունի համակարգչի համատեքստի միացման համար։

Ստեղծեք պրոֆիլը և դրա երթուղիները

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection-ը գրում է պրոֆիլը։ -AllUserConnection փոխարկիչը հրապարակում է այն գլոբալ հեռախոսագրքում, ինչը հարմար է ընդհանուր կամ ծառայության կողմից կառավարվող մեքենայի համար։ Մեկ օգտվողի դեպքում բաց թողեք այն։ Ցանկացած հասցե, որ փոխանցեք, պետք է համընկնի սերվերի վկայագրի DNS անվան հետ, հակառակ դեպքում սխալը կհայտնվի այն բանից հետո, երբ թունելն արդեն բարձրացած է։ Այնուհետև նախածանցները ավելացվում են մեկ առ մեկ Add-VpnConnectionRoute-ով, և միայն դրանք, որ իսկապես պետք են նախագծին։

IPv6-ն ունի տարօրինակություն՝ Windows-ը հրաժարվում է ::/0-ից որպես VPN երթուղի, ուստի ::/1-ը և 8000::/1-ը միասին ծածկում են նույն հասցեային տարածքը։ Նախածանց երթուղավորելը նաև ոչինչ չի տալիս հեռավոր firewall-ում, այնպես որ նախածանցների ցանկը և firewall-ի քաղաքականությունը մնում են առանձին փաստաթղթեր։

Հավատարմագրերը պատկանում են վավերացման մեթոդին

Մեքենայի վկայագրով պրոֆիլը բոլորովին օգտվողի գաղտնիքի կարիք չունի, մինչդեռ EAP-MSCHAPv2 պրոֆիլը՝ ունի։ Երկրորդ դեպքում VPNCredentialsHelper մոդուլը տրամադրում է Set-VpnConnectionUsernamePassword-ը, և այն ուզում է պարզ տեքստ՝ $cred.Password-ը SecureString է, ուստի նախ բացեք այն GetNetworkCredential().Password-ով։ Տեղադրեք մոդուլը ամենուր, որտեղ հրամանը գործում է, ոչ միայն այն աշխատակայանում, որտեղ այն գրվել է։ EAP-TLS-ը կամ հատուկ մեթոդը բոլորովին չի օգտագործում այս cmdlet-ը, փոխարենը վերցնում է EAP կարգավորման XML։

rasdial "Office IKEv2"-ը միացումը բարձրացնում է shell-ից, և սա ամենաարագ ձևն է արդյունքը առաջին պլանում տեսնելու, այլ ոչ թե իրադարձությունների մատյանում։

Ինչ չի ապացուցում միացված թունելը

Միացված կարգավիճակը ծածկում է IKE փոխանակումը և վավերացման քայլը, և ոչ ավելին։ DNS-ի վարքը, դեպի մասնավոր հոսթ տանող ուղին և հեռավոր firewall-ը դեռ ապացուցված չեն։ Աշխատեք դեպի դուրս՝ թունելի ադապտերը, ապա երթուղու որոնում մասնավոր հասցեի համար, ապա մեկ ծառայություն, որն օգտագործելու իրավունք ունեք։ Առաջին դիտարկումը, որ ձախողվում է, նշում է ուսումնասիրվող շերտը։

Երբ փոխում եք պրոֆիլը, ջնջեք նախորդը Remove-VpnConnection -Name "Office IKEv2" -Force-ով նախքան այն վերստեղծելը, հակառակ դեպքում հնացած կարգավորումներն ու երթուղիները մնում են խմբագրումից հետո։ Եթե այն դեռ չի միանում, համեմատեք պրոֆիլում գրանցված մատնահետքը պահոցում եղածի հետ, քանի որ Windows-ը կարող է հղում պահել ինքնության, որը դրանից հետո փոխարինվել է անփոփոխ սուբյեկտի ներքո։

Պահեք մատնահետքը, EAP մեթոդը և երթուղիների ցանկը պրոֆիլի կողքին։ Միասին դրանք բացատրում են հետագայում սխալ գնացողի մեծ մասը։