IKEv2 VPN-ის აწყობა PowerShell-ში მანქანის სერტიფიკატით

Windows-ს მოჰყვება IKEv2 კლიენტი, რომელსაც PowerShell თავიდან ბოლომდე აკონტროლებს, ამიტომ მომუშავე გვირაბს არც GUI სჭირდება და არც მესამე მხარის პროგრამა. თითქმის ყველა წარუმატებლობა სამი ადგილიდან მოდის: სად მოხვდა სერტიფიკატი, როგორ დაიწერა მარშრუტის პრეფიქსები და რას ელის არჩეული EAP მეთოდი. დაამუშავეთ ისინი ამ თანმიმდევრობით, რადგან თითოეული შემოწმებადია შემდეგის დაწყებამდე და გვიანი შეცდომა დაფარავს ადრინდელს.

მანქანის სერტიფიკატის გვირაბები იმისთვის არსებობს, რომ ვინმეს შესვლამდე დაიწყოს, ამიტომ იდენტობა ჩვეულებრივ კომპიუტერის, და არა მომხმარებლის საცავში უნდა იყოს.

ჯერ სერტიფიკატი, შემდეგ გვირაბი

ორი იმპორტია მნიშვნელოვანი. კლიენტის იდენტობა Cert:\LocalMachine\My-ში Import-PfxCertificate-ით ხვდება, ხოლო გამცემი CA Cert:\LocalMachine\Root-ში Import-Certificate-ით. მხოლოდ ფოთოლი არანაირ ჯაჭვს არ ამტკიცებს, ამიტომ მეორე იმპორტის გამოტოვება შემოწმებას საფუძველს ართმევს. არსებობის გარდა, პირადი გასაღები უნდა იყოს მიმაგრებული და კომპიუტერის ანგარიშს უნდა ჰქონდეს მისი წაკითხვის უფლება. Get-ChildItem Cert:\LocalMachine\My ჩამოთვლის, რა ჩამოვიდა; შეადარეთ ანაბეჭდები და არა სუბიექტები, რადგან თითქმის იდენტური სუბიექტები ხშირია.

განლაგებამდე შეამოწმეთ გაფართოებული გასაღების გამოყენება. IKEv2 მანქანის იდენტობისთვის ჩვეულებრივ საჭიროა კლიენტის ავთენტიფიკაცია, და მოპირდაპირე მხარემ უნდა ენდოს იმ CA-ს, რომელმაც ხელი მოაწერა. მომხმარებლის საცავში მყოფი იდენტობა კომპიუტერის კონტექსტის კავშირისთვის არ არსებობს.

შექმენით პროფილი და მისი მარშრუტები

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection წერს პროფილს. -AllUserConnection გადამრთველი აქვეყნებს მას გლობალურ სატელეფონო წიგნში, რაც შესაფერისია საერთო ან სერვისით მართული მანქანისთვის; ერთი მომხმარებლისთვის გამოტოვეთ. ნებისმიერი მისამართი, რომელსაც გადასცემთ, უნდა შეესაბამებოდეს სერვერის სერტიფიკატში მოცემულ DNS სახელს, წინააღმდეგ შემთხვევაში შეცდომა მას შემდეგ გამოჩნდება, რაც გვირაბი უკვე აწეულია. შემდეგ პრეფიქსები ემატება სათითაოდ Add-VpnConnectionRoute-ით, და მხოლოდ ის, რაც დიზაინს ნამდვილად სჭირდება.

IPv6-ს ერთი თავისებურება აქვს: Windows უარყოფს ::/0-ს VPN მარშრუტად, ამიტომ ::/1 და 8000::/1 ერთად ფარავს იმავე მისამართების სივრცეს. პრეფიქსის მარშრუტიზაცია არც დაშორებულ firewall-ზე არაფერს იძლევა, ამიტომ პრეფიქსების სია და firewall-ის პოლიტიკა ცალკე დოკუმენტებად რჩება.

მონაცემები ავთენტიფიკაციის მეთოდს ეკუთვნის

მანქანის სერტიფიკატის პროფილს მომხმარებლის საიდუმლო საერთოდ არ სჭირდება, ხოლო EAP-MSCHAPv2 პროფილს სჭირდება. მეორე შემთხვევაში VPNCredentialsHelper მოდული გვაძლევს Set-VpnConnectionUsernamePassword-ს, და ის ჩვეულებრივ ტექსტს ითხოვს: $cred.Password არის SecureString, ამიტომ ჯერ GetNetworkCredential().Password-ით გახსენით. დააინსტალირეთ მოდული ყველგან, სადაც ბრძანება მუშაობს, და არა მხოლოდ იმ სამუშაო სადგურზე, სადაც დაიწერა. EAP-TLS ან მორგებული მეთოდი საერთოდ არ იყენებს ამ cmdlet-ს; სამაგიეროდ იღებს EAP კონფიგურაციის XML-ს.

rasdial "Office IKEv2" კავშირს shell-იდან აწევს, და ეს არის შედეგის წინა პლანზე ნახვის უსწრაფესი გზა, და არა მოვლენების ჟურნალში.

რასაც დაკავშირებული გვირაბი არ ამტკიცებს

დაკავშირებული სტატუსი მოიცავს IKE გაცვლას და ავთენტიფიკაციის საფეხურს და მეტს არაფერს. DNS-ის ქცევა, კერძო ჰოსტამდე მიმავალი გზა და დაშორებული firewall ჯერ არ არის დამტკიცებული. იმუშავეთ გარეთკენ: გვირაბის ადაპტერი, შემდეგ მარშრუტის ძებნა კერძო მისამართისთვის, შემდეგ ერთი სერვისი, რომლის გამოყენების უფლებაც გაქვთ. პირველი დაკვირვება, რომელიც ვარდება, გამოკვლევის ფენას მიუთითებს.

პროფილის შეცვლისას წაშალეთ წინა Remove-VpnConnection -Name "Office IKEv2" -Force-ით, სანამ ხელახლა შექმნით; წინააღმდეგ შემთხვევაში მოძველებული პარამეტრები და მარშრუტები რედაქტირების შემდეგაც რჩება. თუ მაინც არ უერთდება, შეადარეთ პროფილში ჩაწერილი ანაბეჭდი საცავში არსებულს, რადგან Windows-მა შეიძლება შეინარჩუნოს მითითება იდენტობაზე, რომელიც მას შემდეგ უცვლელი სუბიექტის ქვეშ შეიცვალა.

შეინახეთ ანაბეჭდი, EAP მეთოდი და მარშრუტების სია პროფილის გვერდით. ერთად ისინი ხსნიან იმის უმეტესობას, რაც მოგვიანებით ფუჭდება.