Skrip profil VPN P2S Azure untuk setiap pengguna Windows

Membagikan paket Azure point-to-site secara manual berfungsi untuk lima laptop dan runtuh pada lima puluh. Jalur berskrip memiliki dua jebakan yang masing-masing memakan satu sore: galat parameter yang tampak seperti kegagalan sertifikat, dan rute yang tidak pernah dipasang koneksi meski semua hal lain benar. Keduanya tidak diperbaiki dengan mengunduh ulang paket klien. Kerjakan pemeriksaan di bawah secara berurutan dan berhenti pada yang pertama gagal.

Saya menjaga urutannya tetap karena setiap langkah menganggap langkah sebelumnya benar.

1. Perbaiki cakupan profil sebelum perangkat pertama

Profil untuk semua pengguna hidup di mesin dan muncul di setiap sesi. Profil per pengguna mengikuti satu akun dan menyimpan kredensialnya dalam konteks akun itu. Pilih satu dan tetap dengannya, karena mesin yang membawa keduanya menampilkan dua entri dengan nama sama, dan pengguna terhubung ke yang muncul lebih dulu. Mengubah cakupan nanti berarti menghapus profil lama lebih dulu alih-alih menyuntingnya di tempat.

Profil untuk semua pengguna cocok untuk perangkat bersama dan kios yang tidak ada orang masuk dengan akun pribadi. Itu default yang salah saat sertifikat diterbitkan per orang, karena profil selingkup mesin tidak dapat menyajikan kredensial milik orang lain. Tuliskan pilihan itu ke catatan penyebaran sebelum laptop kedua ada.

2. Berikan sakelar sebagai sakelar

Add-VpnConnection menerima parameter sakelar yang ada atau tidak ada. Memberi $true kepadanya memunculkan galat EapConfigXmlStream, itulah sebabnya begitu banyak utas soal ini berakhir dengan memeriksa rantai sertifikat yang tidak pernah menjadi masalah.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Alamat gateway di atas hanyalah contoh; ambil yang asli dari paket yang diunduh dan pertahankan tanda kutipnya. -AllUserConnection memerlukan sesi yang ditinggikan, dan profil yang dibuatnya berselingkup mesin meski Anda menjalankan perintah sebagai administrator. Baca kumpulan parameter dengan Get-Help Add-VpnConnection -Parameter * sebelum menambah sakelar lain.

3. Tambahkan rute yang tidak ditambahkan adaptor

Adaptor point-to-site memasang rute untuk kumpulan alamat klien dan tidak lebih.

Prefiks jaringan virtual di luar kumpulan itu tetap tak terjangkau sementara terowongan masih melaporkan Connected, dan itulah kegagalan paling membingungkan dalam alur kerja ini. Tambahkan rute secara eksplisit setelah koneksi berhasil, dan arahkan ke alamat antarmuka yang diterima adaptor alih-alih ke nama gateway publik. Alamat itu berasal dari ipconfig setelah terhubung, dan berubah antar sesi.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Hapus rute saat memutus koneksi agar hop berikutnya yang basi tidak dapat mengirim lalu lintas ke lubang hitam nanti. Perlakukan perintah itu sebagai penyimpangan lokal yang terdokumentasi: jika rilis klien mendatang menambahkan rutenya sendiri, baris Anda menjadi duplikat yang bersaing dengan hop berikutnya milik paket.

4. Verifikasi sebagai pengguna standar

Sesi administrator menyembunyikan kesalahan cakupan, karena peningkatan terkadang memberi kredensial yang tidak dimiliki pengguna sebenarnya.

Masuk sebagai non-administrator, sambungkan melalui profil, dan uji satu layanan privat alih-alih internet publik. Pastikan profil muncul di Get-VpnConnection -AllUserConnection, status mencapai Connected, dan rute yang Anda tambahkan menunjuk ke alamat adaptor saat ini. Lalu tidurkan mesin, bangunkan, dan bandingkan ipconfig lagi.

5. Hapus penyebaran buruk dengan bersih

Remove-VpnConnection dengan -AllUserConnection dan -Force menghapus profil selingkup mesin. Force penting karena profil yang terhubung menolak dihapus jika tidak, dan profil yang setengah terhapus lebih sulit didiagnosis daripada pemasangan ulang yang bersih.

Simpan nama profil, alamat gateway, dan rute yang ditambahkan di catatan penyebaran. Ketiga nilai itulah yang dibutuhkan panggilan meja bantuan sebelum siapa pun membuka tiket, dan itu juga yang dibutuhkan skrip berikutnya saat alamat gateway berubah. Tambahkan versi paket klien ke catatan yang sama, karena perilaku rute milik paket itu, bukan Windows.