Byggja IKEv2 VPN í PowerShell með vélarskírteini

Windows kemur með IKEv2-biðlara sem PowerShell stýrir frá upphafi til enda, svo virk göng þurfa hvorki GUI né hugbúnað þriðja aðila. Næstum hver mistök koma frá þremur stöðum: hvert skírteinið endaði, hvernig forskeyti leiðanna voru skrifuð og hvað valin EAP-aðferð býst við. Meðhöndlaðu þau í þeirri röð, því hvert er hægt að staðfesta áður en það næsta byrjar og síðari villa mun hylja fyrri.

Vélarskírteinagöng eru til svo þau starti áður en nokkur skráir sig inn, þess vegna verður auðkennið venjulega að búa í geymslu tölvunnar frekar en notandans.

Skírteinið fyrst, göngin síðan

Tvær innflutningar skipta máli. Auðkenni biðlarans fer í Cert:\LocalMachine\My í gegnum Import-PfxCertificate, og útgefandi CA fer í Cert:\LocalMachine\Root í gegnum Import-Certificate. Eitt laufskírteini sannar enga keðju, svo að sleppa seinni innflutningnum lætur staðfestinguna án nokkurs að byggja á. Fyrir utan nærveru verður einkalykillinn að vera tengdur og tölvureikningnum að vera heimilað að lesa hann. Get-ChildItem Cert:\LocalMachine\My listar hvað barst; berðu saman fingraför frekar en viðföng, því næstum eins viðföng eru algeng.

Athugaðu útvíkkuðu lyklanotkunina áður en þú dreifir. Biðlarastaðfesting er venjulega krafan fyrir IKEv2-vélarauðkenni, og hin hliðin verður að treysta CA sem skrifaði undir það. Auðkenni í geymslu notandans er ekki til hvað varðar tengingu í tölvusamhengi.

Búðu til sniðið og leiðir þess

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection skrifar sniðið. Rofinn -AllUserConnection birtir það í alþjóðlegu símaskránni, hentugt fyrir sameiginlega eða þjónustustýrða vél; slepptu honum fyrir einn notanda. Hvaða vistfang sem þú sendir verður að passa við DNS-nafnið í skírteini netþjónsins, annars birtast mistökin eftir að göngin eru þegar uppi. Þá eru forskeyti bætt við eitt í einu með Add-VpnConnectionRoute, og aðeins þau sem hönnunin þarf í raun.

IPv6 hefur sérkennileika: Windows hafnar ::/0 sem VPN-leið, svo ::/1 og 8000::/1 ná saman yfir sama vistfangarýmið. Að beina forskeyti gefur líka ekkert í fjarlæga eldveggnum, svo forskeytalistinn og eldveggsstefnan halda áfram að vera aðskilin skjöl.

Skírskírteini tilheyra staðfestingaraðferðinni

Snið með vélarskírteini þarf alls ekkert notandalevndarmál, en EAP-MSCHAPv2-snið þarf það. Í seinni tilvikinu veitir einingin VPNCredentialsHelper Set-VpnConnectionUsernamePassword, og hún vill venjulegan texta: $cred.Password er SecureString, svo opnaðu það fyrst með GetNetworkCredential().Password. Settu eininguna upp hvar sem skipunin keyrir, ekki bara á vinnustöðinni þar sem hún var skrifuð. EAP-TLS eða sérsniðin aðferð notar þessa cmdlet alls ekki; hún tekur í staðinn EAP-stillingar-XML.

rasdial "Office IKEv2" reisir tenginguna úr skel, sem er fljótlegasta leiðin til að sjá niðurstöðuna í forgrunni í stað atburðaskrár.

Hvað tengd göng sanna ekki

Staðan tengd nær yfir IKE-skiptin og staðfestingarskrefið og ekkert þar fyrir utan. DNS-hegðun, leiðin að einkahýsli og fjarlægi eldveggurinn eru öll enn ósönnuð. Vinndu út á við: gönguadapterinn, svo leitar að leið fyrir einkavistfang, svo ein þjónusta sem þú hefur heimild til að nota. Fyrsta athugunin sem mistekst bendir á lagið sem á að rannsaka.

Þegar þú breytir sniði skaltu eyða því fyrra með Remove-VpnConnection -Name "Office IKEv2" -Force áður en þú býrð það til aftur; annars vara úreltar stillingar og leiðir í gegnum breytinguna. Ef það tengist samt ekki skaltu bera saman fingrafarið sem skráð er í sniðinu við það sem er í geymslunni, því Windows getur haldið tilvísun í auðkenni sem hefur síðan verið skipt út undir óbreyttu viðfangi.

Haltu fingrafarinu, EAP-aðferðinni og leiðalistanum við hlið sniðsins. Saman útskýra þau mest af því sem fer úrskeiðis síðar.