PowerShell ನಲ್ಲಿ ಮೆಷಿನ್ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ IKEv2 VPN ನಿರ್ಮಿಸಿ

Windows ಒಂದು IKEv2 ಕ್ಲೈಂಟ್ ಅನ್ನು ಒದಗಿಸುತ್ತದೆ, ಅದನ್ನು PowerShell ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ನಿಯಂತ್ರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಟನೆಲ್ಗೆ GUI ಅಥವಾ ತೃತೀಯ-ಪಕ್ಷದ ತಂತ್ರಾಂಶ ಅಗತ್ಯವಿಲ್ಲ. ಬಹುತೇಕ ಪ್ರತಿ ವೈಫಲ್ಯವೂ ಮೂರು ಸ್ಥಳಗಳಿಂದ ಬರುತ್ತದೆ: ಪ್ರಮಾಣಪತ್ರ ಎಲ್ಲಿ ಕೊನೆಗೊಂಡಿತು, ರೂಟ್ ಪ್ರಿಫಿಕ್ಸ್ಗಳನ್ನು ಹೇಗೆ ಬರೆಯಲಾಯಿತು ಮತ್ತು ಆಯ್ಕೆ ಮಾಡಿದ EAP ವಿಧಾನ ಏನನ್ನು ನಿರೀಕ್ಷಿಸುತ್ತದೆ. ಅವುಗಳನ್ನು ಅದೇ ಕ್ರಮದಲ್ಲಿ ನಿಭಾಯಿಸಿ, ಏಕೆಂದರೆ ಮುಂದಿನದು ಪ್ರಾರಂಭವಾಗುವ ಮೊದಲು ಪ್ರತಿಯೊಂದನ್ನು ಪರಿಶೀಲಿಸಬಹುದು ಮತ್ತು ನಂತರದ ದೋಷವು ಹಿಂದಿನದನ್ನು ಮರೆಮಾಡುತ್ತದೆ.

ಮೆಷಿನ್ ಪ್ರಮಾಣಪತ್ರದ ಟನೆಲ್ಗಳು ಯಾರಾದರೂ ಲಾಗಿನ್ ಆಗುವ ಮೊದಲು ಪ್ರಾರಂಭವಾಗಲು ಇರುತ್ತವೆ, ಆದ್ದರಿಂದ ಗುರುತು ಸಾಮಾನ್ಯವಾಗಿ ಬಳಕೆದಾರರ ಸ್ಟೋರ್ನಲ್ಲಿ ಅಲ್ಲ, ಕಂಪ್ಯೂಟರ್ನ ಸ್ಟೋರ್ನಲ್ಲಿ ಇರಬೇಕು.

ಮೊದಲು ಪ್ರಮಾಣಪತ್ರ, ನಂತರ ಟನೆಲ್

ಎರಡು ಆಮದುಗಳು ಮುಖ್ಯ. ಕ್ಲೈಂಟ್ ಗುರುತು Import-PfxCertificate ಮೂಲಕ Cert:\LocalMachine\My ಗೆ ಹೋಗುತ್ತದೆ, ಮತ್ತು ನೀಡುವ CA Import-Certificate ಮೂಲಕ Cert:\LocalMachine\Root ಗೆ ಹೋಗುತ್ತದೆ. ಒಂದೇ ಎಲೆ ಪ್ರಮಾಣಪತ್ರ ಯಾವುದೇ ಸರಪಣಿಯನ್ನು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಎರಡನೇ ಆಮದನ್ನು ಬಿಟ್ಟುಬಿಟ್ಟರೆ ಪರಿಶೀಲನೆಗೆ ಆಧಾರವಿಲ್ಲದಂತಾಗುತ್ತದೆ. ಇರುವಿಕೆಯ ಜೊತೆಗೆ, ಖಾಸಗಿ ಕೀ ಲಗತ್ತಿಸಿರಬೇಕು ಮತ್ತು ಕಂಪ್ಯೂಟರ್ ಖಾತೆಗೆ ಅದನ್ನು ಓದಲು ಅನುಮತಿ ಇರಬೇಕು. Get-ChildItem Cert:\LocalMachine\My ಏನು ಬಂದಿದೆ ಎಂಬುದನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ; ವಿಷಯಗಳಿಗಿಂತ ಥಂಬ್ಪ್ರಿಂಟ್ಗಳನ್ನು ಹೋಲಿಸಿ, ಏಕೆಂದರೆ ಬಹುತೇಕ ಒಂದೇ ರೀತಿಯ ವಿಷಯಗಳು ಸಾಮಾನ್ಯ.

ನಿಯೋಜಿಸುವ ಮೊದಲು ವಿಸ್ತರಿತ ಕೀ ಬಳಕೆಯನ್ನು ಪರಿಶೀಲಿಸಿ. IKEv2 ಮೆಷಿನ್ ಗುರುತಿಗೆ ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣ ಸಾಮಾನ್ಯ ಅಗತ್ಯವಾಗಿದೆ, ಮತ್ತು ಎದುರು ಭಾಗವು ಅದನ್ನು ಸಹಿ ಮಾಡಿದ CA ಅನ್ನು ನಂಬಬೇಕು. ಬಳಕೆದಾರರ ಸ್ಟೋರ್ನಲ್ಲಿರುವ ಗುರುತು ಕಂಪ್ಯೂಟರ್ ಸಂದರ್ಭದ ಸಂಪರ್ಕಕ್ಕೆ ಅಸ್ತಿತ್ವದಲ್ಲಿಲ್ಲ.

ಪ್ರೊಫೈಲ್ ಮತ್ತು ಅದರ ರೂಟ್ಗಳನ್ನು ರಚಿಸಿ

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection ಪ್ರೊಫೈಲ್ ಬರೆಯುತ್ತದೆ. -AllUserConnection ಸ್ವಿಚ್ ಅದನ್ನು ಜಾಗತಿಕ ಫೋನ್ ಪುಸ್ತಕದಲ್ಲಿ ಪ್ರಕಟಿಸುತ್ತದೆ, ಹಂಚಿದ ಅಥವಾ ಸೇವಾ-ನಿರ್ವಹಿತ ಯಂತ್ರಕ್ಕೆ ಸೂಕ್ತವಾಗಿದೆ; ಒಬ್ಬ ಬಳಕೆದಾರರಿಗೆ ಅದನ್ನು ಬಿಡಿ. ನೀವು ನೀಡುವ ಯಾವುದೇ ವಿಳಾಸವು ಸರ್ವರ್ನ ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿನ DNS ಹೆಸರಿಗೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಟನೆಲ್ ಈಗಾಗಲೇ ಎದ್ದ ನಂತರ ವೈಫಲ್ಯ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ. ನಂತರ ಪ್ರಿಫಿಕ್ಸ್ಗಳನ್ನು Add-VpnConnectionRoute ಮೂಲಕ ಒಂದೊಂದಾಗಿ ಸೇರಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು ವಿನ್ಯಾಸಕ್ಕೆ ನಿಜವಾಗಿ ಬೇಕಾದವುಗಳನ್ನು ಮಾತ್ರ.

IPv6 ಗೆ ಒಂದು ವಿಚಿತ್ರತೆ ಇದೆ: Windows ::/0 ಅನ್ನು VPN ರೂಟ್ ಆಗಿ ನಿರಾಕರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ::/1 ಮತ್ತು 8000::/1 ಒಟ್ಟಾಗಿ ಅದೇ ವಿಳಾಸ ಸ್ಥಳವನ್ನು ಆವರಿಸುತ್ತವೆ. ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ರೂಟ್ ಮಾಡುವುದರಿಂದ ದೂರದ ಫೈರ್ವಾಲ್ನಲ್ಲೂ ಏನೂ ಸಿಗುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಪ್ರಿಫಿಕ್ಸ್ ಪಟ್ಟಿ ಮತ್ತು ಫೈರ್ವಾಲ್ ನೀತಿ ಪ್ರತ್ಯೇಕ ದಾಖಲೆಗಳಾಗಿ ಉಳಿಯುತ್ತವೆ.

ರುಜುವಾತುಗಳು ದೃಢೀಕರಣ ವಿಧಾನಕ್ಕೆ ಸೇರುತ್ತವೆ

ಮೆಷಿನ್ ಪ್ರಮಾಣಪತ್ರದ ಪ್ರೊಫೈಲ್ಗೆ ಬಳಕೆದಾರರ ಯಾವುದೇ ರಹಸ್ಯ ಅಗತ್ಯವಿಲ್ಲ, ಆದರೆ EAP-MSCHAPv2 ಪ್ರೊಫೈಲ್ಗೆ ಅಗತ್ಯವಿದೆ. ಎರಡನೇ ಸಂದರ್ಭದಲ್ಲಿ VPNCredentialsHelper ಮಾಡ್ಯೂಲ್ Set-VpnConnectionUsernamePassword ಅನ್ನು ಒದಗಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಸಾದಾ ಪಠ್ಯವನ್ನು ಬಯಸುತ್ತದೆ: $cred.Password ಎಂಬುದು SecureString, ಆದ್ದರಿಂದ ಮೊದಲು ಅದನ್ನು GetNetworkCredential().Password ನಿಂದ ತೆರೆಯಿರಿ. ಆದೇಶ ಓಡುವ ಎಲ್ಲೆಡೆ ಮಾಡ್ಯೂಲ್ ಅನ್ನು ಸ್ಥಾಪಿಸಿ, ಬರೆದ ಕೆಲಸದ ಕೇಂದ್ರದಲ್ಲಿ ಮಾತ್ರವಲ್ಲ. EAP-TLS ಅಥವಾ ಕಸ್ಟಮ್ ವಿಧಾನವು ಈ cmdlet ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಬಳಸುವುದಿಲ್ಲ; ಬದಲಾಗಿ EAP ಸಂರಚನೆ XML ಅನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ.

rasdial "Office IKEv2" ಶೆಲ್ನಿಂದ ಸಂಪರ್ಕವನ್ನು ಎತ್ತುತ್ತದೆ, ಮತ್ತು ಫಲಿತಾಂಶವನ್ನು ಈವೆಂಟ್ ಲಾಗ್ನಲ್ಲಿ ಅಲ್ಲ, ಮುಂಭಾಗದಲ್ಲಿ ನೋಡಲು ಇದು ವೇಗವಾದ ದಾರಿ.

ಸಂಪರ್ಕಗೊಂಡ ಟನೆಲ್ ಏನನ್ನು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ

ಸಂಪರ್ಕಿತ ಸ್ಥಿತಿಯು IKE ವಿನಿಮಯ ಮತ್ತು ದೃಢೀಕರಣ ಹಂತವನ್ನು ಆವರಿಸುತ್ತದೆ, ಅದಕ್ಕಿಂತ ಹೆಚ್ಚೇನೂ ಅಲ್ಲ. DNS ವರ್ತನೆ, ಖಾಸಗಿ ಹೋಸ್ಟ್ಗೆ ಇರುವ ಮಾರ್ಗ ಮತ್ತು ದೂರದ ಫೈರ್ವಾಲ್ ಎಲ್ಲವೂ ಇನ್ನೂ ಸಾಬೀತಾಗಿಲ್ಲ. ಹೊರಮುಖವಾಗಿ ಕೆಲಸ ಮಾಡಿ: ಟನೆಲ್ ಅಡಾಪ್ಟರ್, ನಂತರ ಖಾಸಗಿ ವಿಳಾಸಕ್ಕೆ ರೂಟ್ ಅನ್ವೇಷಣೆ, ನಂತರ ನಿಮಗೆ ಅನುಮತಿ ಇರುವ ಒಂದು ಸೇವೆ. ವಿಫಲವಾಗುವ ಮೊದಲ ವೀಕ್ಷಣೆಯೇ ತನಿಖೆ ಮಾಡಬೇಕಾದ ಪದರವನ್ನು ಸೂಚಿಸುತ್ತದೆ.

ಪ್ರೊಫೈಲ್ ಬದಲಾಯಿಸುವಾಗ, ಮತ್ತೆ ರಚಿಸುವ ಮೊದಲು ಹಿಂದಿನದನ್ನು Remove-VpnConnection -Name "Office IKEv2" -Force ನಿಂದ ಅಳಿಸಿ; ಇಲ್ಲದಿದ್ದರೆ ಸಂಪಾದನೆಯ ನಂತರವೂ ಹಳೆಯ ಸೆಟ್ಟಿಂಗ್ಗಳು ಮತ್ತು ರೂಟ್ಗಳು ಉಳಿಯುತ್ತವೆ. ಅದು ಇನ್ನೂ ಸಂಪರ್ಕವಾಗದಿದ್ದರೆ, ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ದಾಖಲಾದ ಥಂಬ್ಪ್ರಿಂಟ್ ಅನ್ನು ಸ್ಟೋರ್ನಲ್ಲಿರುವದರೊಂದಿಗೆ ಹೋಲಿಸಿ, ಏಕೆಂದರೆ Windows ಬದಲಾಗದ ವಿಷಯದ ಅಡಿಯಲ್ಲಿ ನಡುವೆ ಬದಲಾಯಿಸಲಾದ ಗುರುತಿಗೆ ಉಲ್ಲೇಖವನ್ನು ಇಟ್ಟುಕೊಳ್ಳಬಹುದು.

ಥಂಬ್ಪ್ರಿಂಟ್, EAP ವಿಧಾನ ಮತ್ತು ರೂಟ್ ಪಟ್ಟಿಯನ್ನು ಪ್ರೊಫೈಲ್ನ ಪಕ್ಕದಲ್ಲಿ ಇರಿಸಿ. ಒಟ್ಟಾಗಿ ಅವು ನಂತರ ತಪ್ಪಾಗುವ ಬಹಳಷ್ಟನ್ನು ವಿವರಿಸುತ್ತವೆ.