En IKEv2 VPN a PowerShell mat engem Maschinnenzertifikat opbauen

Windows bréngt en IKEv2-Client mat, deen PowerShell vum Ufank bis zum Enn steiert, dofir brauch en funktionéierenden Tunnel keng GUI a keng Software vun Drëtten. Bal all Feeler kënnt vun dräi Plazen: wou d'Zertifikat higeroden ass, wéi d'Routpräfixer geschriwwe goufen a wat déi gewielte EAP-Method erwaart. Behandelt se an där Reihenfolge, well jiddwereen ass iwwerpréifbar, éier de nächsten ufänkt, an e méi spéide Feeler wäert en éischte verstoppen.

Maschinnenzertifikat-Tunnele ginn et, fir ze starten, éier ee sech aloggt, dofir muss d'Identitéit normalerweis am Späicher vum Computer liewen an net am Späicher vun engem Benotzer.

Éischt d'Zertifikat, duerno den Tunnel

Zwee Importen zielen. D'Clientidentitéit geet an Cert:\LocalMachine\My iwwer Import-PfxCertificate, an déi ausstellend CA geet an Cert:\LocalMachine\Root iwwer Import-Certificate. E Blat eleng beweist keng Kette, dofir wann een den zweeten Import iwergeet, bleift d'Verifikatioun ouni Fondement. Nieft der Präsenz muss de private Schlëssel ugehaangen sinn an dem Computerkontot muss et erlaabt sinn, en ze liesen. Get-ChildItem Cert:\LocalMachine\My listet op, wat ukomm ass; vergläicht Fangerofdréck an net Sujeten, well bal identesch Sujete geleefeg sinn.

Iwwerpréift de verlängerten Schlësselgebrauch, éier Dir ausrollt. D'Clientauthentifizéierung ass déi üblech Fuerderung fir eng IKEv2-Maschinnidentitéit, an déi aner Säit muss der CA vertrauen, déi se ënnerschriwwen huet. Eng Identitéit am Späicher vun engem Benotzer gëtt et net fir eng Verbindung am Computerkontext.

Erstellt de Profil an seng Routen

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection schreift de Profil. De Schalter -AllUserConnection verëffentlecht en am globalen Telefonbuch, gëeegent fir eng gedeelten oder vum Service geréiert Këscht; loosst en ewech fir en eenzelen Benotzer. Wéi eng Adress Dir och gitt, si muss mam DNS-Numm am Zertifikat vum Server iwwereneestëmmen, soss erschéngt de Feeler, nodeem den Tunnel schonn op ass. Duerno ginn d'Präfixer een nom aneren mat Add-VpnConnectionRoute dobäigesat, an nëmmen déi, déi den Design wierklech brauch.

IPv6 huet eng Eegenheet: Windows refuséiert ::/0 als VPN-Route, dofir decken ::/1 an 8000::/1 zesummen deeselwechten Adressraum. E Präfix ze route gëtt och näischt op der entfernter Firewall, dofir bleiwen d'Präfixlëscht an d'Firewallpolitik getrennte Dokumenter.

D'Anmeldedaten gehéieren zur Authentifizéierungsmethod

E Profil mat Maschinnenzertifikat brauch iwwerhaapt kee Benotzergeheimnis, wougéint en EAP-MSCHAPv2-Profil ee brauch. Am zweete Fall bitt de Modul VPNCredentialsHelper Set-VpnConnectionUsernamePassword, an en wëll Kloertext: $cred.Password ass e SecureString, dofir packt en éischt mat GetNetworkCredential().Password aus. Installéiert de Modul iwwerall, wou de Befehl leeft, net nëmmen op der Workstation, wou en entworfe gouf. EAP-TLS oder eng personaliséiert Method benotzt dëse Cmdlet guer net; si hëlt amplaz eng EAP-Konfiguratiouns-XML.

rasdial "Office IKEv2" hieft d'Verbindung aus enger Shell, wat de séierste Wee ass, fir d'Resultat am Virdergrond ze gesinn amplaz an engem Eventlog.

Wat en verbonnenen Tunnel net beweist

De Status verbonnen deckt den IKE-Austausch an den Authentifizéierungsschratt of a näischt doriwwer eraus. DNS-Verhalen, de Wee zu engem private Host an déi entfernt Firewall sinn all nach onbewisen. Schafft no baussen: den Tunneladapter, duerno eng Routensich fir eng privat Adress, duerno ee Service, deen Dir benotze däerft. Déi éischt Observatioun, déi feelt, nennt d'Schicht, déi ze ënnersichen ass.

Wann Dir e Profil ännert, läscht de virege mat Remove-VpnConnection -Name "Office IKEv2" -Force, éier Dir en nei erstellt; soss bleiwen al Settings a Routen duerch d'Ännerung bestoen. Wann et nach ëmmer net verbënnt, vergläicht de Fangerofdrock, deen am Profil agedroe steet, mat deem am Späicher, well Windows eng Referenz op eng Identitéit ka halen, déi zënterhier ënner engem onverännerten Sujet ersat gouf.

Halt de Fangerofdrock, d'EAP-Method an d'Routelëscht niewent dem Profil. Zesummen erkläre si de gréissten Deel vun deem, wat méi spéit schif geet.