PowerShell ичинде машина сертификаты менен IKEv2 VPN түзүү
Сертификаттын жайгашуусу, маршрут префикстери жана EAP маалыматтары — IKEv2 скрипти ийгиликсиз болгон жерлер. Туннелди PowerShell ичинде түзүп, ар бир баскычты өзүнчө текшериңиз.
Windows PowerShell толук башкарган IKEv2 кардары менен келет, ошондуктан иштеген туннелге GUI да, үчүнчү тараптын программасы да керек эмес. Дээрлик ар бир ийгиликсиздик үч жерден келет: сертификат кайда түштү, маршрут префикстери кантип жазылды жана тандалган EAP ыкмасы эмнени күтөт. Аларды ушундай тартипте чечиңиз, анткени ар бирин кийинкиси башталганга чейин текшерсе болот, ал эми кечирээк чыккан ката эртерин жашырат.
Машина сертификаты бар туннелдер бирөө киргенге чейин башталуу үчүн бар, ошондуктан инсандык адатта колдонуучунун эмес, компьютердин кампасында болушу керек.
Алгач сертификат, анан туннел
Эки импорт маанилүү. Кардардын инсандыгы Import-PfxCertificate аркылуу Cert:\LocalMachine\My ичине кирет, ал эми чыгаруучу CA Import-Certificate аркылуу Cert:\LocalMachine\Root ичине кирет. Жалгыз жалбырак сертификат эч кандай чынжырды далилдебейт, ошондуктан экинчи импортту өткөрүп жиберүү текшерүүнү тиреги жок калтырат. Болушунан тышкары, жеке ачкыч тиркелиши керек жана компьютердик эсепке аны окууга уруксат берилиши керек. Get-ChildItem Cert:\LocalMachine\My эмне келгенин тизмелейт; субъектилерди эмес, манжа изин салыштырыңыз, анткени дээрлик окшош субъектилер көп кездешет.
Жайылтуудан мурун кеңейтилген ачкыч колдонуусун текшериңиз. IKEv2 машина инсандыгы үчүн кардардын аутентификациясы адаттагы талап, ал эми каршы тарап ага кол койгон CA ишениши керек. Колдонуучунун кампасындагы инсандык компьютердик контексттеги туташуу үчүн жок.
Профилди жана анын маршруттарын түзүңүз
Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection профилди жазат. -AllUserConnection которгуч аны глобалдык телефон китебинде жарыялайт, бул жалпы же кызмат менен башкарылган машинага ылайыктуу; бир колдонуучу үчүн аны алып салыңыз. Кандай да бир даректи берсеңиз, ал сервердин сертификатындагы DNS атка дал келиши керек, болбосо ката туннел буга чейин көтөрүлгөндөн кийин пайда болот. Андан кийин префикстер Add-VpnConnectionRoute аркылуу бир-бирден кошулат, жана долбоорго чын эле керек болгондору гана.
IPv6нын бир өзгөчөлүгү бар: Windows ::/0 ди VPN маршруту катары четке кагат, ошондуктан ::/1 жана 8000::/1 чогуу ошол эле дарек мейкиндигин жабат. Префиксти маршруттоо алыскы firewall да эч нерсе бербейт, ошондуктан префикс тизмеси жана firewall саясаты өзүнчө документтер бойдон калат.
Маалыматтар аутентификация ыкмасына таандык
Машина сертификаты бар профилге колдонуучунун жашырууну таптакыр керек эмес, ал эми EAP-MSCHAPv2 профилине керек. Экинчи учурда VPNCredentialsHelper модулу Set-VpnConnectionUsernamePassword ны сунуштайт жана ал жөнөкөй текстти каалайт: $cred.Password — SecureString, ошондуктан адегенде аны GetNetworkCredential().Password аркылуу ачыңыз. Модулду буйрук кайда аткарылса, ошол жерге орнотуңуз, жазылган жумуш станциясына гана эмес. EAP-TLS же ыңгайлаштырылган ыкма бул cmdlet ти такыр колдонбойт; анын ордуна EAP конфигурациясынын XML ин алат.
rasdial "Office IKEv2" туташууну shell ден көтөрөт, бул натыйжаны окуялар журналында эмес, алдыңкы планда көрүүнүн эң тез жолу.
Туташкан туннел эмнени далилдебейт
Туташкан абал IKE алмашуусун жана аутентификация кадамын камтыйт, андан ары эч нерсе жок. DNS жүрүм-туруму, жеке хостко бараткан жол жана алыскы firewall али далилденгени жок. Сыртка карай иштеңиз: туннел адаптери, анан жеке дарек үчүн маршрут издөө, анан пайдаланууга укугуңуз бар бир кызмат. Биринчи ийгиликсиз байкоо иликтелүүчү катмарды көрсөтөт.
Профилди өзгөрткөндө, кайра түзүүдөн мурун мурункусун Remove-VpnConnection -Name "Office IKEv2" -Force аркылуу жок кылыңыз; болбосо эскирген жөндөөлөр жана маршруттар түзөтүүдөн кийин да калат. Эгер ал дагы эле туташпаса, профилде жазылган манжа изин кампадагы менен салыштырыңыз, анткени Windows өзгөрбөгөн субъект астында кийин алмаштырылган инсандыкка шилтеме кармашы мүмкүн.
Манжа изин, EAP ыкмасын жана маршруттар тизмесин профилдин жанында кармаңыз. Чогуу алар кийинчерээк ката кетчү нерселердин көбүн түшүндүрөт.