IKEv2 VPN izveide PowerShell ar datora sertifikātu

Windows piegādā IKEv2 klientu, ko PowerShell vada no sākuma līdz beigām, tāpēc strādājošam tunelim nav vajadzīga ne grafiskā saskarne, ne trešo pušu programmatūra. Gandrīz katra kļūda nāk no trim vietām: kur nonāca sertifikāts, kā tika uzrakstīti maršrutu prefiksi un ko gaida izvēlētā EAP metode. Apstrādājiet tās šajā secībā, jo katru var pārbaudīt pirms nākamās sākuma, un vēlāka kļūda aizsegs agrāku.

Datora sertifikāta tuneļi pastāv, lai sāktu pirms kāds piesakās, tāpēc identitātei parasti jāatrodas datora, nevis lietotāja krātuvē.

Vispirms sertifikāts, tad tunelis

Svarīgi ir divi importi. Klienta identitāte nonāk Cert:\LocalMachine\My, izmantojot Import-PfxCertificate, un izsniedzēja CA nonāk Cert:\LocalMachine\Root, izmantojot Import-Certificate. Viens lapas sertifikāts pats par sevi nepierāda ķēdi, tāpēc otrā importa izlaišana atstāj pārbaudi bez pamata. Papildus esamībai privātajai atslēgai jābūt pievienotai, un datora kontam jābūt atļaujai to lasīt. Get-ChildItem Cert:\LocalMachine\My uzskaita, kas ieradās; salīdziniet pirkstu nospiedumus, nevis subjektus, jo gandrīz identiski subjekti ir izplatīti.

Pirms izvietošanas pārbaudiet paplašināto atslēgas lietojumu. IKEv2 datora identitātei parasti nepieciešama klienta autentifikācija, un pretējai pusei jāuzticas CA, kas to parakstīja. Identitāte lietotāja krātuvē datora konteksta savienojumam neeksistē.

Izveidojiet profilu un tā maršrutus

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection ieraksta profilu. Slēdzis -AllUserConnection publicē to globālajā tālruņu grāmatā, kas piemērots koplietotai vai pakalpojuma pārvaldītai iekārtai; vienam lietotājam to izlaidiet. Jebkurai adresei, ko nododat, ir jā atbilst DNS vārdam servera sertifikātā, citādi kļūda parādīsies pēc tam, kad tunelis jau ir pacelts. Pēc tam prefiksi tiek pievienoti pa vienam ar Add-VpnConnectionRoute, un tikai tie, kas dizainam tiešām vajadzīgi.

IPv6 ir īpatnība: Windows atsakās no ::/0 kā VPN maršruta, tāpēc ::/1 un 8000::/1 kopā aptver to pašu adrešu telpu. Prefiksa maršrutēšana arī neko nedod attālajā ugunsmūrī, tāpēc prefiksu saraksts un ugunsmūra politika paliek atsevišķi dokumenti.

Akreditācijas dati pieder autentifikācijas metodei

Profilam ar datora sertifikātu vispār nav vajadzīgs lietotāja noslēpums, bet EAP-MSCHAPv2 profilam ir. Otrajā gadījumā modulis VPNCredentialsHelper nodrošina Set-VpnConnectionUsernamePassword, un tam vajag vienkāršu tekstu: $cred.Password ir SecureString, tāpēc vispirms izpakot to ar GetNetworkCredential().Password. Instalējiet moduli visur, kur komanda darbojas, ne tikai tajā darbstacijā, kur tā tika rakstīta. EAP-TLS vai pielāgota metode šo cmdlet nemaz neizmanto; tā vietā tā ņem EAP konfigurācijas XML.

rasdial "Office IKEv2" paceļ savienojumu no čaulas, un tas ir ātrākais veids, kā redzēt rezultātu priekšplānā, nevis notikumu žurnālā.

Ko pievienots tunelis nepierāda

Pievienots statuss aptver IKE apmaiņu un autentifikācijas soli, un neko vairāk. DNS uzvedība, ceļš uz privātu resursdatoru un attālais ugunsmūris joprojām nav pierādīti. Strādājiet uz āru: tuneļa adapteris, pēc tam maršruta meklēšana privātai adresei, pēc tam viens pakalpojums, kuru drīkstat izmantot. Pirmais novērojums, kas neizdodas, norāda pētāmo slāni.

Mainot profilu, dzēsiet iepriekšējo ar Remove-VpnConnection -Name "Office IKEv2" -Force pirms tā atkārtotas izveides; citādi novecojuši iestatījumi un maršruti saglabājas pēc rediģēšanas. Ja tas joprojām nepievienojas, salīdziniet profilā ierakstīto pirksta nospiedumu ar to, kas ir krātuvē, jo Windows var turēt atsauci uz identitāti, kas kopš tā laika ir aizstāta ar nemainītu subjektu.

Turiet pirksta nospiedumu, EAP metodi un maršrutu sarakstu blakus profilam. Kopā tie izskaidro lielāko daļu no tā, kas vēlāk noiet greizi.