Add-VpnConnection: რატომ ზიანდება PSK და რატომ რჩება მისამართი
PowerShell ორმაგ ბრჭყალებში მოცემულ წინასწარ გაზიარებულ გასაღებს cmdlet-ის შენახვამდე აფართოებს, ხოლო მოქმედი გვირაბი ძველ მისამართს ინარჩუნებს ხელახლა დაკავშირებამდე.
Windows-ის VPN პროფილი სატელეფონო წიგნის ჩანაწერია, ხოლო PowerShell ამ ჩანაწერის რედაქტირების ერთ-ერთი გზა. ამ განსხვავებიდან ორი მარცხი გამომდინარეობს: წინასწარ გაზიარებული გასაღები, რომელიც სერვერს უკვე დაზიანებული აღწევს, და სერვერის მისამართი, რომელიც განახლებულად გამოიყურება, მაგრამ არ არის ის, რომელსაც შემდეგი გვირაბი გამოიძახებს. ორივე უფრო ადვილად ჩანს, თუ პროფილს შენახულ მდგომარეობად განიხილავთ და არა როგორც თქვენ მიერ გაშვებულ ბრძანებას. მიმოხილვა რედაქტირების თანმიმდევრობას მიჰყვება: შექმნა, შეცვლა, ფარგლები, უკუკითხვა.
შექმენით პროფილი ლიტერალური გასაღებით
Add-VpnConnection L2TP წინასწარ გაზიარებულ გასაღებს იღებს -L2tpPsk-ის მეშვეობით. PowerShell ამუშავებს სტრიქონს მანამ, სანამ cmdlet მიიღებს მას, და ორმაგ ბრჭყალებში დოლარის ნიშანი ცვლადის მითითებას იწყებს, ხოლო backtick — escape-ს. გასაღები, რომელიც ერთ-ერთ მათგანს შეიცავს, უფრო მოკლე ან სხვა სიმბოლოთი აღწევს, და პროფილი წარმატებით იქმნება არასწორი საიდუმლოთი.
შემდეგ მარცხი IPsec-ის ავთენტიფიკაციაზე ვლინდება, სადაც გვირაბი ასვლაზე უარს ამბობს. ამიტომ ბრჭყალების შეცდომას ასე ხშირად სერვერის მხარის პრობლემად აცხადებენ: პროფილი არსებობს, სახელი სწორია, საიდუმლო კი ჩუმად არასწორია.
| How you write it | What PowerShell does | Result |
|---|---|---|
| "p@ss$word!42" | Expands $word as a variable | Stored key is truncated |
| Double-quoted with an escape character | Consumes the next character as an escape | One character disappears |
| 'p@ss$word!42' | Keeps the literal characters | Stored key matches the secret |
ერთმაგი ბრჭყალები გადაწყვეტაა და მათ მთელი მნიშვნელობა უნდა მოიცვან. თუ ჩანაწერი უკვე არსებობს ცუდი გასაღებით, -Force ცვლის მას, ან წაშალეთ და ხელახლა შექმენით პროფილი, შემდეგ კი ახალი კავშირით შეამოწმეთ:
Add-VpnConnection -Name "Contoso-L2TP" -ServerAddress vpn.contoso.example -TunnelType L2tp -L2tpPsk 'n3w$ecret!2026' -AuthenticationMethod Pap -RememberCredential -Forceნამდვილი საიდუმლო shell-ის ისტორიისა და საერთო სკრიპტების გარეთ შეინახეთ. წაიკითხეთ იგი გაშვების დროს დამტკიცებული საცავიდან და გადასვით ცვლადი ლიტერალური მნიშვნელობის ნაცვლად, რაც მთლიანად აირიდებს ბრჭყალების პრობლემას.
შეცვალეთ მისამართი, შემდეგ ხელახლა დაუკავშირდით
Set-VpnConnection იღებს ინტერვალებით გამოყოფილ პარამეტრებს და არა მინიჭების სინტაქსს. -ServerAddress = "203.0.113.10"-ის დაწერა დამატებით ტოკენს გადასცემს, და cmdlet ან შეცდომას გამოიტანს, ან იმას შეინახავს, რაც არ გინდოდათ. სწორი ფორმაა -Name "Office L2TP" -ServerAddress 203.0.113.10.
სწორი სინტაქსითაც კი ცვლილება უკვე აწეულ გვირაბს არ აღწევს. დამყარებული კავშირი ინარჩუნებს იმ მისამართს, რომელზეც დარეკა, სანამ გაითიშება, ამიტომ იმავე სესიის შემოწმება ახალი მნიშვნელობის შესახებ არაფერს ამტკიცებს. გათიშეთ, შეცვალეთ, ხელახლა დაუკავშირდით და დაადასტურეთ პარტნიორის მისამართი კავშირის დეტალებში.
ზოგიერთი თვისება ადგილზე ვერ იცვლება. როცა cmdlet უარს ამბობს, ჩაწერეთ არსებული პარამეტრები, წაშალეთ პროფილი და ხელახლა შექმენით შესწორებული მნიშვნელობებით, და შეინარჩუნეთ გვირაბისა და ავთენტიფიკაციის თავდაპირველი პარამეტრები. სკრიპტს, რომელსაც მხოლოდ ტელეფონის ნომრის შეცვლა სჭირდება, შეუძლია სატელეფონო წიგნის ჩანაწერი RAS API-ის მეშვეობით შეცვალოს ყველაფრის ხელახლა შექმნის ნაცვლად. რომელი გზაც არ უნდა აირჩიოთ, შემდეგ დაადასტურეთ შენახული მნიშვნელობები და ნუ დაეყრდნობით ბრძანების დუმილს.
იცოდეთ, რომელი სატელეფონო წიგნი შეცვალეთ
თითო მომხმარებლის პროფილი ამ მომხმარებლის ქსელური კავშირების საქაღალდეშია, ხოლო ყველა მომხმარებლის პროფილი პროგრამის მონაცემთა ხის ქვეშ მდებარე მანქანის საერთო საქაღალდეში. ეს სხვადასხვა ფარგლების სხვადასხვა ჩანაწერია და ერთის რედაქტირება მეორეს ხელუხლებელს ტოვებს.
ამიტომ ცვლილება შეიძლება გაქრულად მოგეჩვენოთ: სკრიპტი ერთი ანგარიშით გაიშვა, ტესტი კი მეორეთი. გამოიყენეთ -AllUserConnection, როცა პროფილი მანქანას ეკუთვნის, და უკუკითხვისას იმავე ფარგლები შეამოწმეთ.
უკუწაიკითხეთ პროფილი ტესტამდე
ჰკითხეთ Windows-ს, რა შეინახა და არა რა გადასცით:
Get-VpnConnection -Name "Office L2TP" | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethodშეადარეთ ეს გამონატანი განზრახვას, შემდეგ დაიწყეთ ახალი კავშირი. თუ აკრეფა ვერ მოხერხდა, პროფილის კვლავ შეცვლამდე შეამოწმეთ RAS კლიენტის ჟურნალი Event Viewer-ში, რადგან ჟურნალი ასახელებს იმ ეტაპს, რომელიც ვერ შესრულდა.
რედაქტირებისას ავთენტიფიკაციის არქიტექტურა უცვლელად შეინარჩუნეთ. ბრძანება, რომელიც მისამართს ცვლის, მაგრამ სერტიფიკატს ან EAP კონფიგურაციას ტოვებს, იწვევს მარცხს, რომელიც რედაქტირებასთან უკავშიროდ გამოიყურება, ხოლო მომუშავე პროფილის წინასწარი ექსპორტი გაძლევთ აღდგენის საშუალებას ვარაუდის ნაცვლად.