PowerShell ішінде машина сертификатымен IKEv2 VPN құру

Windows PowerShell толық басқаратын IKEv2 клиентімен бірге келеді, сондықтан жұмыс істейтін туннельге GUI де, үшінші тарап бағдарламасы да қажет емес. Барлық дерлік сәтсіздік үш жерден келеді: сертификат қайда түсті, маршрут префикстері қалай жазылды және таңдалған EAP әдісі не күтеді. Оларды осы ретпен шешіңіз, өйткені әрқайсысы келесісі басталмай тұрып тексеріле алады, ал кешірек шыққан қате ертеректегісін жасырады.

Машина сертификаты бар туннельдер біреу жүйеге кірмей тұрып іске қосылу үшін бар, сондықтан сәйкестік әдетте пайдаланушының емес, компьютердің қоймасында тұруы керек.

Алдымен сертификат, содан соң туннель

Екі импорт маңызды. Клиент сәйкестігі Import-PfxCertificate арқылы Cert:\LocalMachine\My-ге түседі, ал шығарушы CA Import-Certificate арқылы Cert:\LocalMachine\Root-ге түседі. Жалғыз жапырақ сертификат ешқандай тізбекті дәлелдемейді, сондықтан екінші импортты өткізіп жіберу тексеруді тірек жоқ қалдырады. Болуынан басқа, жеке кілт тіркелуі керек және компьютер тіркелгісіне оны оқуға рұқсат берілуі керек. Get-ChildItem Cert:\LocalMachine\My не келгенін тізімдейді; субъектілерді емес, саусақ іздерін салыстырыңыз, өйткені дерлік бірдей субъектілер жиі кездеседі.

Жаю алдында кеңейтілген кілт қолданысын тексеріңіз. IKEv2 машина сәйкестігі үшін клиенттің аутентификациясы әдеттегі талап, ал қарсы жақ оны қол қойған CA-ға сенуі керек. Пайдаланушы қоймасындағы сәйкестік компьютер контекстіндегі қосылым үшін жоқ.

Профильді және оның маршруттарын жасаңыз

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection профильді жазады. -AllUserConnection қосқышы оны жаһандық телефон кітабында жариялайды, бұл ортақ немесе қызметпен басқарылатын машинаға жарайды; бір пайдаланушы үшін оны алып тастаңыз. Қандай мекенжай берсеңіз де, ол сервер сертификатындағы DNS атауына сай болуы керек, әйтпесе қате туннель әлдеқашан көтерілгеннен кейін пайда болады. Содан кейін префикстер Add-VpnConnectionRoute арқылы бір-бірлеп қосылады, тек дизайнға шынымен қажеттері ғана.

IPv6-ның бір ерекшелігі бар: Windows ::/0-ді VPN маршруты ретінде қабылдамайды, сондықтан ::/1 мен 8000::/1 бірге сол мекенжай кеңістігін жабады. Префиксті маршруттау қашықтағы firewall-да ештеңе бермейді, сондықтан префикс тізімі мен firewall саясаты бөлек құжаттар болып қалады.

Деректер аутентификация әдісіне тиесілі

Машина сертификаты бар профильге пайдаланушы құпиясы мүлде қажет емес, ал EAP-MSCHAPv2 профиліне қажет. Екінші жағдайда VPNCredentialsHelper модулі Set-VpnConnectionUsernamePassword ұсынады және ол қарапайым мәтінді қалайды: $cred.Password — SecureString, сондықтан алдымен оны GetNetworkCredential().Password арқылы ашыңыз. Модульді пәрмен қайда орындалса, сонда орнатыңыз, тек жазылған жұмыс станциясында ғана емес. EAP-TLS немесе теңшелетін әдіс бұл cmdlet-ті мүлде қолданбайды; оның орнына EAP конфигурациясының XML-ін алады.

rasdial "Office IKEv2" қосылымды shell-ден көтереді, бұл нәтижені оқиғалар журналында емес, алдыңғы планда көрудің ең жылдам жолы.

Қосылған туннель нені дәлелдемейді

Қосылған күй IKE алмасуын және аутентификация қадамын қамтиды, одан ары ештеңе жоқ. DNS мінез-құлқы, жеке хостқа баратын жол және қашықтағы firewall әлі дәлелденбеген. Сыртқа қарай жұмыс істеңіз: туннель адаптері, содан кейін жеке мекенжай үшін маршрут іздеу, содан кейін пайдалануға құқығыңыз бар бір қызмет. Бірінші сәтсіз бақылау тексерілетін қабатты көрсетеді.

Профильді өзгерткенде, оны қайта жасамас бұрын алдыңғысын Remove-VpnConnection -Name "Office IKEv2" -Force арқылы жойыңыз; әйтпесе ескірген параметрлер мен маршруттар өңдеуден кейін де қалады. Егер ол әлі қосылмаса, профильде жазылған саусақ ізін қоймадағымен салыстырыңыз, өйткені Windows өзгермеген субъект астында кейін ауыстырылған сәйкестікке сілтеме ұстауы мүмкін.

Саусақ ізін, EAP әдісін және маршруттар тізімін профильдің жанында ұстаңыз. Бірге олар кейінірек қате кететін нәрсенің көбін түсіндіреді.