PowerShell дээр машины гэрчилгээгээр IKEv2 VPN байгуулах

Windows нь PowerShell бүрэн удирддаг IKEv2 клиенттэй ирдэг тул ажиллах туннельд GUI ч, гуравдагч талын програм ч хэрэггүй. Бараг бүх алдаа гурван газраас гардаг: гэрчилгээ хаана буусан, маршрутын угтварыг хэрхэн бичсэн, сонгосон EAP арга юу хүлээж байгаа. Тэдгээрийг энэ дарааллаар шийдээрэй, учир нь дараагийнх эхлэхийн өмнө тус бүрийг шалгаж болох бөгөөд хожуу гарсан алдаа эрт гарсныг далдална.

Машины гэрчилгээтэй туннель нь хэн нэгэн нэвтрэхээс өмнө эхлэх зориулалттай тул таних тэмдэг нь ихэвчлэн хэрэглэгчийн биш, компьютерын хадгалалтад байх ёстой.

Эхлээд гэрчилгээ, дараа нь туннель

Хоёр импорт чухал. Клиентийн таних тэмдэг Import-PfxCertificate-ээр Cert:\LocalMachine\My руу ордог, харин олгогч CA Import-Certificate-аар Cert:\LocalMachine\Root руу ордог. Ганц навч гэрчилгээ ямар ч гинжийг нотлохгүй тул хоёр дахь импортыг алгасах нь шалгалтыг түшиггүй орхино. Байгаа эсэхээс гадна хувийн түлхүүр хавсаргасан байх ёстой бөгөөд компьютерын бүртгэлд түүнийг унших зөвшөөрөл байх ёстой. Get-ChildItem Cert:\LocalMachine\My юу ирснийг жагсаана; субьектуудыг биш, хурууны хээг харьцуулаарай, учир нь бараг ижил субьектууд түгээмэл.

Байрлуулахын өмнө өргөтгөсөн түлхүүрийн хэрэглээг шалгаарай. IKEv2 машины таних тэмдэгт клиентийн баталгаажуулалт шаардагддаг бөгөөд нөгөө тал түүнд гарын үсэг зурсан CA-д итгэх ёстой. Хэрэглэгчийн хадгалалтад байгаа таних тэмдэг нь компьютерын контекст холболтод байхгүйтэй адил.

Профайл болон түүний маршрутуудыг үүсгээрэй

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection профайлыг бичнэ. -AllUserConnection шилжүүлэгч түүнийг дэлхийн утасны дэвтэрт нийтэлдэг бөгөөд хуваалцсан эсвэл үйлчилгээгээр удирдуулсан машинд тохиромжтой; нэг хэрэглэгчид үүнийг орхи. Ямар ч хаяг өгсөн ч, тэр нь серверийн гэрчилгээ дэх DNS нэртэй тохирох ёстой, эс бөгөөс туннель аль хэдийн боссоны дараа алдаа гарна. Дараа нь угтваруудыг Add-VpnConnectionRoute-оор нэг нэгээр нэмдэг бөгөөд дизайнд үнэхээр хэрэгтэйг л нэмнэ.

IPv6-д нэг онцлог бий: Windows ::/0-ыг VPN маршрут гэж хүлээж авахгүй тул ::/1 болон 8000::/1 хамтдаа ижил хаягийн орон зайг хамарна. Угтвар маршрутлах нь алсын firewall дээр юу ч өгөхгүй тул угтварын жагсаалт болон firewall-ын бодлого тусдаа баримт бичиг хэвээр үлддэг.

Итгэмжлэл нь баталгаажуулалтын аргад хамаарна

Машины гэрчилгээтэй профайлд хэрэглэгчийн нууц огт хэрэггүй, харин EAP-MSCHAPv2 профайлд хэрэгтэй. Хоёр дахь тохиолдолд VPNCredentialsHelper модуль Set-VpnConnectionUsernamePassword-ыг өгдөг бөгөөд энэ нь энгийн текст шаарддаг: $cred.Password нь SecureString тул эхлээд GetNetworkCredential().Password-аар задлаарай. Модулийг команд ажиллах бүх газарт суулгаарай, зөвхөн бичсэн ажлын станц дээр биш. EAP-TLS эсвэл захиалгат арга энэ cmdlet-ийг огт ашиглахгүй; оронд нь EAP-ийн тохиргооны XML авдаг.

rasdial "Office IKEv2" холболтыг shell-ээс өргөдөг бөгөөд үр дүнг арга хэмжээний бүртгэлд биш, урд талд харах хамгийн хурдан арга нь энэ.

Холбогдсон туннель юуг нотлохгүй

Холбогдсон төлөв нь IKE солилцоо болон баталгаажуулалтын алхмыг хамардаг бөгөөд үүнээс хэтрэхгүй. DNS-ийн зан төлөв, хувийн хост руу очих зам, алсын firewall бүгд одоо хүртэл нотлогдоогүй. Гадагш ажиллаарай: туннелийн адаптер, дараа нь хувийн хаягийн маршрут хайлт, дараа нь таны ашиглах эрхтэй нэг үйлчилгээ. Хамгийн түрүүнд бүтэлгүйтсэн ажиглалт нь шалгах давхаргыг заана.

Профайлыг өөрчлөхдөө дахин үүсгэхийн өмнө өмнөхийг Remove-VpnConnection -Name "Office IKEv2" -Force-оор устгаарай; эс бөгөөс засварын дараа ч хуучирсан тохиргоо, маршрут үлдэнэ. Хэрэв холбогдохгүй хэвээр бол профайлд тэмдэглэсэн хурууны хээг хадгалалт дахь хээтэй харьцуулаарай, учир нь Windows өөрчлөгдөөгүй субьектийн дор хооронд нь солигдсон таних тэмдэг рүү лавлагаа хадгалж болно.

Хурууны хээ, EAP арга, маршрутын жагсаалтыг профайлын хажууд хадгалаарай. Хамтдаа тэд хожим буруу болох зүйлийн ихэнхийг тайлбарлана.