Membangun VPN IKEv2 di PowerShell dengan Sertifikat Mesin

Windows menyertakan klien IKEv2 yang dikendalikan PowerShell dari awal sampai akhir, jadi terowongan yang berfungsi tidak memerlukan GUI maupun perangkat lunak pihak ketiga. Hampir setiap kegagalan berasal dari tiga tempat: di mana sertifikat berakhir, bagaimana prefiks rute ditulis, dan apa yang diharapkan metode EAP yang dipilih. Tangani ketiganya dalam urutan itu, karena masing-masing dapat diperiksa sebelum yang berikutnya dimulai dan kesalahan yang lebih akhir akan menutupi kesalahan yang lebih awal.

Terowongan sertifikat mesin ada agar dapat dimulai sebelum siapa pun masuk, itulah sebabnya identitas biasanya harus berada di penyimpanan komputer, bukan penyimpanan pengguna.

Sertifikat dulu, terowongan kemudian

Dua impor penting. Identitas klien masuk ke Cert:\LocalMachine\My melalui Import-PfxCertificate, dan CA penerbit masuk ke Cert:\LocalMachine\Root melalui Import-Certificate. Satu lembar sertifikat tidak membuktikan rantai apa pun, jadi melewati impor kedua membuat verifikasi tanpa dasar. Selain keberadaannya, kunci privat harus terlampir dan akun komputer harus diizinkan membacanya. Get-ChildItem Cert:\LocalMachine\My mendaftar apa yang tiba; bandingkan cap jempol, bukan subjek, karena subjek yang hampir identik lazim ditemukan.

Periksa penggunaan kunci yang diperluas sebelum menerapkan. Autentikasi klien adalah persyaratan umum untuk identitas mesin IKEv2, dan pihak seberang harus memercayai CA yang menandatanganinya. Identitas di penyimpanan pengguna tidak ada bagi koneksi dalam konteks komputer.

Buat profil dan rutenya

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection menulis profil. Sakelar -AllUserConnection menerbitkannya di buku telepon global, cocok untuk mesin bersama atau yang dikelola layanan; hilangkan untuk satu pengguna. Alamat apa pun yang Anda berikan harus cocok dengan nama DNS pada sertifikat server, jika tidak, kegagalan muncul setelah terowongan sudah terpasang. Prefiks lalu ditambahkan satu per satu dengan Add-VpnConnectionRoute, dan hanya yang benar-benar dibutuhkan desain.

IPv6 punya keanehan: Windows menolak ::/0 sebagai rute VPN, jadi ::/1 dan 8000::/1 bersama-sama mencakup ruang alamat yang sama. Merutekan prefiks juga tidak memberi apa pun di firewall jauh, sehingga daftar prefiks dan kebijakan firewall tetap menjadi dokumen terpisah.

Kredensial milik metode autentikasi

Profil sertifikat mesin sama sekali tidak memerlukan rahasia pengguna, sedangkan profil EAP-MSCHAPv2 memerlukannya. Untuk kasus kedua modul VPNCredentialsHelper menyediakan Set-VpnConnectionUsernamePassword, dan ia menginginkan teks biasa: $cred.Password adalah SecureString, jadi buka dulu dengan GetNetworkCredential().Password. Pasang modul di mana pun perintah dijalankan, bukan hanya di stasiun kerja tempat perintah itu disusun. EAP-TLS atau metode khusus tidak memakai cmdlet ini sama sekali; ia mengambil XML konfigurasi EAP sebagai gantinya.

rasdial "Office IKEv2" menaikkan koneksi dari shell, yang merupakan cara tercepat melihat hasilnya di latar depan alih-alih di log peristiwa.

Apa yang tidak dibuktikan terowongan yang tersambung

Status tersambung mencakup pertukaran IKE dan langkah autentikasi, dan tidak lebih. Perilaku DNS, jalur ke host privat, dan firewall jauh semuanya masih belum terbukti. Bekerjalah ke luar: adaptor terowongan, lalu pencarian rute untuk alamat privat, lalu satu layanan yang Anda berwenang gunakan. Pengamatan pertama yang gagal menunjukkan lapisan yang harus diselidiki.

Saat mengubah profil, hapus yang sebelumnya dengan Remove-VpnConnection -Name "Office IKEv2" -Force sebelum membuatnya kembali; jika tidak, pengaturan dan rute lama tetap bertahan melewati penyuntingan. Jika masih tidak mau tersambung, bandingkan cap jempol yang tercatat di profil dengan yang ada di penyimpanan, karena Windows dapat menyimpan referensi ke identitas yang sejak itu diganti di bawah subjek yang tidak berubah.

Simpan cap jempol, metode EAP, dan daftar rute di samping profil. Bersama-sama semuanya menjelaskan sebagian besar apa yang salah nantinya.