머신 인증서로 PowerShell에서 IKEv2 VPN 구축하기

Windows에는 PowerShell이 처음부터 끝까지 제어하는 IKEv2 클라이언트가 포함되어 있으므로 작동하는 터널에는 GUI도 타사 소프트웨어도 필요하지 않습니다. 거의 모든 실패는 세 곳에서 비롯됩니다. 인증서가 어디에 들어갔는지, 경로 접두사를 어떻게 썼는지, 선택한 EAP 방식이 무엇을 기대하는지입니다. 이 순서대로 처리하십시오. 각 항목은 다음 단계가 시작되기 전에 점검할 수 있고, 뒤에 발생한 오류가 앞의 오류를 가리기 때문입니다.

머신 인증서 터널은 누군가 로그인하기 전에 시작하도록 존재하므로, ID는 보통 사용자 저장소가 아니라 컴퓨터 저장소에 있어야 합니다.

먼저 인증서, 다음에 터널

중요한 가져오기는 두 가지입니다. 클라이언트 ID는 Import-PfxCertificate을 통해 Cert:\LocalMachine\My으로 들어가고, 발급 CA는 Import-Certificate을 통해 Cert:\LocalMachine\Root로 들어갑니다. 리프 인증서만으로는 어떤 체인도 증명하지 못하므로 두 번째 가져오기를 건너뛰면 검증에 기댈 근거가 없습니다. 존재 여부 외에도 개인 키가 첨부되어야 하고 컴퓨터 계정에 읽기 권한이 있어야 합니다. Get-ChildItem Cert:\LocalMachine\My는 무엇이 도착했는지 나열합니다. 거의 동일한 주체가 흔하므로 주체가 아니라 지문을 비교하십시오.

배포하기 전에 확장 키 사용을 확인하십시오. IKEv2 머신 ID에는 보통 클라이언트 인증이 필요하며, 상대편은 그것에 서명한 CA를 신뢰해야 합니다. 사용자 저장소에 있는 ID는 컴퓨터 컨텍스트 연결에는 존재하지 않는 것과 같습니다.

프로필과 경로 만들기

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection가 프로필을 기록합니다. -AllUserConnection 스위치는 이를 전역 전화 번호부에 게시하며, 공유되거나 서비스로 관리되는 머신에 적합합니다. 단일 사용자라면 생략하십시오. 어떤 주소를 넘기든 그것은 서버 인증서의 DNS 이름과 일치해야 합니다. 그렇지 않으면 터널이 이미 올라간 뒤에 실패가 나타납니다. 그다음 Add-VpnConnectionRoute로 접두사를 하나씩 추가하며, 설계에 실제로 필요한 것만 넣습니다.

IPv6에는 특이점이 있습니다. Windows는 ::/0을 VPN 경로로 거부하므로 ::/1와 8000::/1이 함께 같은 주소 공간을 덮습니다. 접두사를 라우팅한다고 원격 방화벽에서 무언가 허용되는 것도 아니므로, 접두사 목록과 방화벽 정책은 별도 문서로 남습니다.

자격 증명은 인증 방식에 속한다

머신 인증서 프로필은 사용자 비밀을 전혀 필요로 하지 않지만, EAP-MSCHAPv2 프로필은 필요로 합니다. 두 번째 경우 VPNCredentialsHelper 모듈이 Set-VpnConnectionUsernamePassword를 제공하며, 그것은 일반 텍스트를 원합니다. $cred.Password은 SecureString이므로 먼저 GetNetworkCredential().Password로 풀어내십시오. 명령이 실행되는 모든 곳에 모듈을 설치하고, 작성한 워크스테이션에만 두지 마십시오. EAP-TLS나 사용자 지정 방식은 이 cmdlet을 전혀 사용하지 않고, 대신 EAP 구성 XML을 받습니다.

rasdial "Office IKEv2"은 셸에서 연결을 올리며, 이벤트 로그가 아니라 전면에서 결과를 보는 가장 빠른 방법입니다.

연결된 터널이 증명하지 않는 것

연결됨 상태는 IKE 교환과 인증 단계만을 포함하며 그 이상은 아닙니다. DNS 동작, 사설 호스트로 가는 경로, 원격 방화벽은 모두 아직 입증되지 않았습니다. 바깥쪽으로 진행하십시오. 터널 어댑터, 그다음 사설 주소에 대한 경로 조회, 그다음 사용 권한이 있는 서비스 하나입니다. 처음 실패하는 관찰이 조사할 계층을 알려줍니다.

프로필을 변경할 때는 다시 만들기 전에 Remove-VpnConnection -Name "Office IKEv2" -Force로 이전 것을 삭제하십시오. 그렇지 않으면 편집을 거쳐도 오래된 설정과 경로가 남습니다. 그래도 연결되지 않으면 프로필에 기록된 지문과 저장소에 있는 지문을 비교하십시오. Windows는 변경되지 않은 주체 아래에서 그 사이 교체된 ID에 대한 참조를 유지할 수 있습니다.

지문, EAP 방식, 경로 목록을 프로필 옆에 두십시오. 이 셋이 합쳐지면 나중에 잘못되는 일의 대부분을 설명할 수 있습니다.