모든 Windows 사용자를 위한 Azure P2S VPN 프로필 스크립트 작성

Azure 지점 및 사이트 간 패키지를 손으로 나눠 주는 일은 다섯 대에서는 되지만 쉰 대에서는 무너진다. 스크립트 경로에는 각각 반나절을 잡아먹는 두 개의 함정이 있는데, 인증서 실패처럼 보이는 매개 변수 오류와 나머지가 모두 맞아도 연결이 결코 설치하지 않는 경로다. 둘 다 클라이언트 패키지를 다시 내려받아 고쳐지지 않는다. 아래 점검을 순서대로 수행하고 처음 실패하는 지점에서 멈춘다.

각 단계가 이전 단계를 참이라고 가정하므로 순서를 고정해 둔다.

1. 첫 장치 전에 프로필 범위를 수정한다

모든 사용자용 프로필 은(는) 컴퓨터에 상주하며 모든 세션에 나타난다. 사용자별 프로필은 한 계정을 따르고 그 계정의 컨텍스트에 자격 증명을 보관하므로 하나를 골라 유지하라. 두 가지를 모두 가진 컴퓨터는 같은 이름의 항목 두 개를 표시하고, 사용자는 먼저 나타나는 쪽에 연결한다. 나중에 범위를 바꾸려면 그 자리에서 편집하지 말고 이전 프로필을 먼저 제거해야 한다.

모든 사용자용 프로필은 아무도 개인 계정으로 로그인하지 않는 공유 장치와 키오스크에 적합하다. 인증서가 사람별로 발급될 때는 컴퓨터 전체 프로필이 다른 사람의 자격 증명을 제시할 수 없으므로 잘못된 기본값이다. 두 번째 노트북이 생기기 전에 배포 기록에 선택을 적어라.

2. 스위치를 스위치로 전달한다

Add-VpnConnection은 있거나 없는 스위치 매개 변수를 받는다. 여기에 $true를 넘기면 EapConfigXmlStream 오류가 발생하며, 이 주제의 수많은 스레드가 결코 문제가 아니었던 인증서 체인을 들여다보며 끝나는 이유가 그것이다.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

위의 게이트웨이 주소는 예시이므로 내려받은 패키지에서 실제 주소를 가져와 따옴표로 유지하라. -AllUserConnection은 승격된 세션이 필요하고, 그것이 만드는 프로필은 관리자로 명령을 실행했더라도 컴퓨터 범위다. 스위치를 더 붙이기 전에 Get-Help Add-VpnConnection -Parameter * 로 매개 변수 집합을 읽어라.

3. 어댑터가 추가하지 않는 경로를 추가한다

지점 및 사이트 간 어댑터는 클라이언트 주소 풀에 대한 경로 하나만 설치하고 그 밖에는 아무것도 하지 않는다.

그 풀 밖의 가상 네트워크 접두사는 터널이 여전히 Connected를 보고하는 동안 도달할 수 없는 상태로 남으며, 이것이 이 작업 흐름에서 가장 혼란스러운 실패다. 연결이 성공한 뒤 경로를 명시적으로 추가하고, 공용 게이트웨이 이름이 아니라 어댑터가 받은 인터페이스 주소를 가리키게 하라. 그 주소는 연결 후 ipconfig에서 나오며 세션마다 바뀐다.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

연결을 끊을 때 경로를 삭제해 오래된 다음 홉이 나중에 트래픽을 블랙홀로 보내지 못하게 하라. 이 명령은 문서화된 로컬 편차로 취급하라: 향후 클라이언트 릴리스가 경로를 스스로 추가하면 당신의 줄은 패키지 자체의 다음 홉과 경쟁하는 중복이 된다.

4. 표준 사용자로 검증한다

관리자 세션은 승격이 때때로 실제 사용자에게는 없을 자격 증명을 제공하므로 범위 실수를 숨긴다.

비관리자로 로그인하고 프로필로 연결한 뒤 공용 인터넷 대신 사설 서비스 하나를 시험하라. 프로필이 Get-VpnConnection -AllUserConnection에 나타나는지, 상태가 Connected에 도달하는지, 추가한 경로가 현재 어댑터 주소를 가리키는지 확인하라. 그다음 컴퓨터를 절전 상태로 두었다가 깨우고 ipconfig를 다시 비교하라.

5. 잘못된 배포를 깔끔하게 제거한다

Remove-VpnConnection에 -AllUserConnection과 -Force를 함께 쓰면 컴퓨터 전체 프로필이 삭제된다. 연결된 프로필은 그렇지 않으면 제거를 거부하므로 Force가 중요하며, 절반만 제거된 프로필은 깨끗한 재설치보다 진단하기 어렵다.

배포 노트에 프로필 이름, 게이트웨이 주소, 추가한 경로를 남겨라. 이 세 값은 누군가 티켓을 열기 전에 헬프데스크 통화가 필요로 하는 것이고, 게이트웨이 주소가 바뀔 때 다음 스크립트가 필요로 하는 것이기도 하다. 경로 동작은 Windows가 아니라 그 패키지에 속하므로 클라이언트 패키지 버전도 같은 노트에 적어라.