PowerShell-ൽ മെഷീൻ സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് IKEv2 VPN നിർമ്മിക്കുക

PowerShell ആദ്യം മുതൽ അവസാനം വരെ നിയന്ത്രിക്കുന്ന ഒരു IKEv2 ക്ലയന്റ് Windows നൽകുന്നു, അതിനാൽ പ്രവർത്തിക്കുന്ന ടണലിന് GUI-യോ മൂന്നാം കക്ഷി സോഫ്റ്റ്വെയറോ ആവശ്യമില്ല. മിക്കവാറും എല്ലാ പരാജയവും മൂന്ന് ഇടങ്ങളിൽ നിന്നാണ് വരുന്നത്: സർട്ടിഫിക്കറ്റ് എവിടെയെത്തി, റൂട്ട് പ്രിഫിക്സുകൾ എങ്ങനെ എഴുതി, തിരഞ്ഞെടുത്ത EAP രീതി എന്താണ് പ്രതീക്ഷിക്കുന്നത്. ഈ ക്രമത്തിൽ അവ കൈകാര്യം ചെയ്യുക, കാരണം അടുത്തത് തുടങ്ങുന്നതിന് മുമ്പ് ഓരോന്നും പരിശോധിക്കാം, പിന്നീടുള്ള പിശക് മുൻപുള്ളതിനെ മറയ്ക്കും.

ആരെങ്കിലും ലോഗിൻ ചെയ്യുന്നതിന് മുമ്പ് ആരംഭിക്കാനാണ് മെഷീൻ സർട്ടിഫിക്കറ്റ് ടണലുകൾ ഉള്ളത്, അതിനാൽ ഐഡന്റിറ്റി സാധാരണയായി ഉപയോക്താവിന്റെ സ്റ്റോറിലല്ല, കമ്പ്യൂട്ടറിന്റെ സ്റ്റോറിലായിരിക്കണം.

ആദ്യം സർട്ടിഫിക്കറ്റ്, പിന്നെ ടണൽ

രണ്ട് ഇംപോർട്ടുകൾ പ്രധാനമാണ്. ക്ലയന്റ് ഐഡന്റിറ്റി Import-PfxCertificate വഴി Cert:\LocalMachine\My-ലേക്ക് പോകുന്നു, ഇഷ്യൂ ചെയ്യുന്ന CA Import-Certificate വഴി Cert:\LocalMachine\Root-ലേക്ക് പോകുന്നു. ഒരു ലീഫ് സർട്ടിഫിക്കറ്റ് മാത്രം ഒരു ചെയിനും തെളിയിക്കുന്നില്ല, അതിനാൽ രണ്ടാം ഇംപോർട്ട് ഒഴിവാക്കിയാൽ പരിശോധനയ്ക്ക് ആധാരമില്ലാതാകും. നിലനിൽപ്പിന് പുറമേ, സ്വകാര്യ കീ ഘടിപ്പിച്ചിരിക്കണം, കമ്പ്യൂട്ടർ അക്കൗണ്ടിന് അത് വായിക്കാൻ അനുമതിയും വേണം. Get-ChildItem Cert:\LocalMachine\My എന്താണ് എത്തിയതെന്ന് പട്ടികപ്പെടുത്തുന്നു; വിഷയങ്ങളല്ല, തംബ്പ്രിന്റുകൾ താരതമ്യം ചെയ്യുക, കാരണം ഏതാണ്ട് സമാനമായ വിഷയങ്ങൾ സാധാരണമാണ്.

വിന്യസിക്കുന്നതിന് മുമ്പ് വിപുലീകൃത കീ ഉപയോഗം പരിശോധിക്കുക. IKEv2 മെഷീൻ ഐഡന്റിറ്റിക്ക് ക്ലയന്റ് പ്രാമാണീകരണമാണ് സാധാരണ ആവശ്യം, എതിർവശം അത് ഒപ്പിട്ട CA-യെ വിശ്വസിക്കണം. ഉപയോക്തൃ സ്റ്റോറിലുള്ള ഐഡന്റിറ്റി കമ്പ്യൂട്ടർ സന്ദർഭത്തിലെ കണക്ഷന് നിലവിലില്ല.

പ്രൊഫൈലും അതിന്റെ റൂട്ടുകളും സൃഷ്ടിക്കുക

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection പ്രൊഫൈൽ എഴുതുന്നു. -AllUserConnection സ്വിച്ച് അത് ആഗോള ഫോൺ ബുക്കിൽ പ്രസിദ്ധീകരിക്കുന്നു, പങ്കിട്ടതോ സേവന-നിയന്ത്രിതമായതോ ആയ യന്ത്രത്തിന് അനുയോജ്യമാണ്; ഒരു ഉപയോക്താവിന് അത് ഒഴിവാക്കുക. നിങ്ങൾ നൽകുന്ന ഏത് വിലാസവും സർവറിന്റെ സർട്ടിഫിക്കറ്റിലെ DNS നാമവുമായി പൊരുത്തപ്പെടണം, അല്ലെങ്കിൽ ടണൽ ഇതിനകം ഉയർന്നതിന് ശേഷമാണ് പരാജയം പ്രത്യക്ഷപ്പെടുന്നത്. തുടർന്ന് പ്രിഫിക്സുകൾ Add-VpnConnectionRoute ഉപയോഗിച്ച് ഓരോന്നായി ചേർക്കുന്നു, ഡിസൈനിന് യഥാർത്ഥത്തിൽ ആവശ്യമുള്ളവ മാത്രം.

IPv6-ന് ഒരു പ്രത്യേകതയുണ്ട്: Windows ::/0-നെ VPN റൂട്ടായി നിരസിക്കുന്നു, അതിനാൽ ::/1-ഉം 8000::/1-ഉം ഒരുമിച്ച് അതേ വിലാസ ഇടം ഉൾക്കൊള്ളുന്നു. പ്രിഫിക്സ് റൂട്ട് ചെയ്യുന്നത് വിദൂര ഫയർവാളിൽ ഒന്നും അനുവദിക്കുന്നില്ല, അതിനാൽ പ്രിഫിക്സ് പട്ടികയും ഫയർവാൾ നയവും വെവ്വേറെ രേഖകളായി തുടരുന്നു.

ക്രെഡൻഷ്യലുകൾ പ്രാമാണീകരണ രീതിയുടേതാണ്

മെഷീൻ സർട്ടിഫിക്കറ്റ് പ്രൊഫൈലിന് ഉപയോക്തൃ രഹസ്യം ഒട്ടും ആവശ്യമില്ല, എന്നാൽ EAP-MSCHAPv2 പ്രൊഫൈലിന് ആവശ്യമുണ്ട്. രണ്ടാമത്തെ കേസിൽ VPNCredentialsHelper മൊഡ്യൂൾ Set-VpnConnectionUsernamePassword നൽകുന്നു, അത് സാധാരണ ടെക്സ്റ്റ് ആഗ്രഹിക്കുന്നു: $cred.Password ഒരു SecureString ആണ്, അതിനാൽ ആദ്യം GetNetworkCredential().Password ഉപയോഗിച്ച് അത് തുറക്കുക. കമാൻഡ് പ്രവർത്തിക്കുന്ന എല്ലായിടത്തും മൊഡ്യൂൾ ഇൻസ്റ്റാൾ ചെയ്യുക, എഴുതിയ വർക്ക്സ്റ്റേഷനിൽ മാത്രമല്ല. EAP-TLS അല്ലെങ്കിൽ ഇഷ്ടാനുസൃത രീതി ഈ cmdlet ഒട്ടും ഉപയോഗിക്കുന്നില്ല; പകരം EAP കോൺഫിഗറേഷൻ XML എടുക്കുന്നു.

rasdial "Office IKEv2" ഷെല്ലിൽ നിന്ന് കണക്ഷൻ ഉയർത്തുന്നു, ഇവന്റ് ലോഗിലല്ലാതെ ഫലം മുൻപിൽ കാണാനുള്ള വേഗതയേറിയ വഴി ഇതാണ്.

കണക്ട് ചെയ്ത ടണൽ എന്താണ് തെളിയിക്കാത്തത്

കണക്ട് ചെയ്ത അവസ്ഥ IKE കൈമാറ്റവും പ്രാമാണീകരണ ഘട്ടവും ഉൾക്കൊള്ളുന്നു, അതിൽ കൂടുതലൊന്നുമില്ല. DNS സ്വഭാവം, സ്വകാര്യ ഹോസ്റ്റിലേക്കുള്ള വഴി, വിദൂര ഫയർവാൾ എന്നിവയെല്ലാം ഇപ്പോഴും തെളിയിക്കപ്പെട്ടിട്ടില്ല. പുറത്തേക്ക് പ്രവർത്തിക്കുക: ടണൽ അഡാപ്റ്റർ, തുടർന്ന് സ്വകാര്യ വിലാസത്തിനുള്ള റൂട്ട് അന്വേഷണം, തുടർന്ന് നിങ്ങൾക്ക് അനുമതിയുള്ള ഒരു സേവനം. ആദ്യം പരാജയപ്പെടുന്ന നിരീക്ഷണമാണ് അന്വേഷിക്കേണ്ട പാളി സൂചിപ്പിക്കുന്നത്.

പ്രൊഫൈൽ മാറ്റുമ്പോൾ, വീണ്ടും സൃഷ്ടിക്കുന്നതിന് മുമ്പ് മുൻപത്തേത് Remove-VpnConnection -Name "Office IKEv2" -Force ഉപയോഗിച്ച് ഇല്ലാതാക്കുക; അല്ലെങ്കിൽ എഡിറ്റിന് ശേഷവും പഴയ ക്രമീകരണങ്ങളും റൂട്ടുകളും നിലനിൽക്കും. ഇപ്പോഴും കണക്ട് ചെയ്യുന്നില്ലെങ്കിൽ, പ്രൊഫൈലിൽ രേഖപ്പെടുത്തിയ തംബ്പ്രിന്റ് സ്റ്റോറിലുള്ളതുമായി താരതമ്യം ചെയ്യുക, കാരണം മാറ്റമില്ലാത്ത വിഷയത്തിന് കീഴിൽ ഇടയ്ക്ക് മാറ്റിയ ഐഡന്റിറ്റിയിലേക്കുള്ള ഒരു റഫറൻസ് Windows സൂക്ഷിച്ചേക്കാം.

തംബ്പ്രിന്റ്, EAP രീതി, റൂട്ട് പട്ടിക എന്നിവ പ്രൊഫൈലിന് സമീപം സൂക്ഷിക്കുക. ഒരുമിച്ച് അവ പിന്നീട് തെറ്റാകുന്നതിന്റെ മിക്കതും വിശദീകരിക്കുന്നു.