Изградба на IKEv2 VPN во PowerShell со сертификат за машина

Windows доаѓа со IKEv2-клиент што PowerShell го контролира од почеток до крај, па тунелот што работи не бара ни GUI ниту софтвер од трети страни. Речиси секој неуспех доаѓа од три места: каде завршил сертификатот, како биле напишани префиксите на маршрутите и што очекува избраниот EAP-метод. Работете со нив по тој редослед, зашто секое е проверливо пред да почне следното, а подоцнежна грешка ќе прикрие претходна.

Тунелите со сертификат за машина постојат за да стартуваат пред некој да се најави, затоа идентитетот обично мора да живее во складиштето на сметачот, а не на корисникот.

Прво сертификатот, потоа тунелот

Важни се два внеса. Идентитетот на клиентот оди во Cert:\LocalMachine\My преку Import-PfxCertificate, а издавачкиот CA оди во Cert:\LocalMachine\Root преку Import-Certificate. Сам лист-сертификат не докажува никаков ланец, па прескокнувањето на вториот внес ја остава проверката без основа. Покрај присуството, приватниот клуч мора да биде прикачен, а на сметководната сметка мора да ѝ биде дозволено да го чита. Get-ChildItem Cert:\LocalMachine\My наведува што пристигнало; споредувајте отпечатоци, а не субјекти, бидејќи речиси идентични субјекти се чести.

Проверете ја проширената употреба на клучот пред да распоредите. Автентикацијата на клиентот е вообичаеното барање за IKEv2 идентитет на машина, а спротивната страна мора да му верува на CA што го потпишал. Идентитет во корисничко складиште не постои за врска во контекст на сметач.

Создајте го профилот и неговите маршрути

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection го запишува профилот. Прекинувачот -AllUserConnection го објавува во глобалниот телефонски именик, што одговара за споделен или сервисно управуван сметач; изоставете го за еден корисник. Која и да е адресата што ја пренесувате, таа мора да одговара на DNS-името во сертификатот на серверот, инаку грешката се појавува откако тунелот веќе е подигнат. Потоа префиксите се додаваат еден по еден со Add-VpnConnectionRoute, и само оние што на дизајнот навистина му се потребни.

IPv6 има особеност: Windows го одбива ::/0 како VPN-маршрута, па ::/1 и 8000::/1 заедно го покриваат истиот адресен простор. Насочувањето на префикс исто така не дава ништо на оддалечениот firewall, па списокот на префикси и политиката на firewall остануваат одделни документи.

Акредитивите припаѓаат на методот за автентикација

Профилот со сертификат за машина воопшто не бара корисничка тајна, додека профилот EAP-MSCHAPv2 бара. Во вториот случај модулот VPNCredentialsHelper го обезбедува Set-VpnConnectionUsernamePassword, и тој сака чист текст: $cred.Password е SecureString, па прво отпакувајте го со GetNetworkCredential().Password. Инсталирајте го модулот каде и да се извршува наредбата, не само на работната станица каде што е напишана. EAP-TLS или прилагоден метод воопшто не го користи овој cmdlet; наместо тоа зема EAP-конфигурациски XML.

rasdial "Office IKEv2" ја подига врската од лушпа, што е најбрзиот начин да се види резултатот во преден план, а не во дневник на настани.

Што не докажува поврзан тунел

Статусот поврзано ги покрива IKE-размената и чекорот на автентикација, и ништо повеќе. Однесувањето на DNS, патот до приватен домаќин и оддалечениот firewall уште се недокажани. Работете кон надвор: адаптерот на тунелот, потоа пребарување на маршрута за приватна адреса, потоа една услуга што имате право да ја користите. Првото набљудување што пропаѓа го означува слојот за истражување.

Кога менувате профил, избришете го претходниот со Remove-VpnConnection -Name "Office IKEv2" -Force пред да го создадете повторно; инаку застарените поставки и маршрути остануваат по уредувањето. Ако уште не се поврзува, споредете го отпечатокот запишан во профилот со оној во складиштето, зашто Windows може да чува референца до идентитет што во меѓувреме е заменет под непроменет субјект.

Чувајте го отпечатокот, EAP-методот и списокот на маршрути до профилот. Заедно тие го објаснуваат најголемиот дел од она што подоцна тргнува наопаку.