PowerShell मध्ये मशीन प्रमाणपत्रासह IKEv2 VPN तयार करा

Windows एक IKEv2 क्लायंट देते जो PowerShell सुरुवातीपासून शेवटपर्यंत नियंत्रित करते, म्हणून कार्यरत बोगद्याला GUI किंवा तृतीय-पक्ष सॉफ्टवेअरची गरज नाही. जवळजवळ प्रत्येक अपयश तीन ठिकाणांहून येते: प्रमाणपत्र कुठे पोहोचले, रूट प्रीफिक्स कसे लिहिले गेले आणि निवडलेली EAP पद्धत काय अपेक्षिते. त्यांना त्याच क्रमाने हाताळा, कारण पुढील सुरू होण्यापूर्वी प्रत्येक तपासता येते आणि नंतरची त्रुटी आधीची त्रुटी झाकून टाकेल.

मशीन प्रमाणपत्र बोगदे कोणी लॉगिन करण्यापूर्वी सुरू होण्यासाठी असतात, म्हणून ओळख सामान्यतः वापरकर्त्याच्या स्टोअरमध्ये नाही तर संगणकाच्या स्टोअरमध्ये असावी लागते.

आधी प्रमाणपत्र, नंतर बोगदा

दोन आयात महत्त्वाच्या आहेत. क्लायंट ओळख Import-PfxCertificate द्वारे Cert:\LocalMachine\My मध्ये जाते, आणि जारी करणारे CA Import-Certificate द्वारे Cert:\LocalMachine\Root मध्ये जाते. एकटे लीफ प्रमाणपत्र कोणतीही साखळी सिद्ध करत नाही, म्हणून दुसरी आयात वगळल्यास तपासणीला आधार राहत नाही. उपस्थितीशिवाय, खाजगी की जोडलेली असावी आणि संगणक खात्याला ती वाचण्याची परवानगी असावी. Get-ChildItem Cert:\LocalMachine\My काय आले याची यादी दाखवते; विषयांऐवजी थंबप्रिंटची तुलना करा, कारण जवळजवळ सारखे विषय सामान्य आहेत.

तैनात करण्यापूर्वी विस्तारित की वापर तपासा. IKEv2 मशीन ओळखीसाठी क्लायंट प्रमाणीकरण ही नेहमीची आवश्यकता आहे, आणि समोरच्या बाजूने ती स्वाक्षरी केलेल्या CA वर विश्वास ठेवला पाहिजे. वापरकर्त्याच्या स्टोअरमधील ओळख संगणक-संदर्भाच्या कनेक्शनसाठी अस्तित्वात नाही.

प्रोफाइल आणि त्याचे रूट तयार करा

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection प्रोफाइल लिहिते. -AllUserConnection स्विच ते जागतिक फोन बुकमध्ये प्रकाशित करते, जे सामायिक किंवा सेवा-व्यवस्थापित यंत्रासाठी योग्य आहे; एका वापरकर्त्यासाठी ते वगळा. तुम्ही दिलेला कोणताही पत्ता सर्व्हरच्या प्रमाणपत्रातील DNS नावाशी जुळला पाहिजे, अन्यथा बोगदा आधीच उभा राहिल्यानंतर अपयश दिसते. नंतर प्रीफिक्स Add-VpnConnectionRoute ने एक-एक करून जोडले जातात, आणि फक्त जे डिझाइनला खरोखर आवश्यक आहेत.

IPv6 मध्ये एक वैशिष्ट्य आहे: Windows ::/0 ला VPN रूट म्हणून नाकारते, म्हणून ::/1 आणि 8000::/1 मिळून तोच पत्ता जागा व्यापतात. प्रीफिक्स राउट केल्याने दूरच्या फायरवॉलवरही काही मिळत नाही, म्हणून प्रीफिक्स यादी आणि फायरवॉल धोरण वेगळी दस्तऐवज राहतात.

क्रेडेन्शियल्स प्रमाणीकरण पद्धतीचे आहेत

मशीन प्रमाणपत्र प्रोफाइलला वापरकर्त्याचे कोणतेही गुपित लागत नाही, तर EAP-MSCHAPv2 प्रोफाइलला लागते. दुसऱ्या बाबतीत VPNCredentialsHelper मॉड्यूल Set-VpnConnectionUsernamePassword देते, आणि ते साधा मजकूर मागते: $cred.Password हे SecureString आहे, म्हणून आधी GetNetworkCredential().Password ने ते उघडा. कमांड जिथे चालते तिथे मॉड्यूल स्थापित करा, फक्त जिथे लिहिले गेले त्या वर्कस्टेशनवर नाही. EAP-TLS किंवा सानुकूल पद्धत हे cmdlet अजिबात वापरत नाही; त्याऐवजी EAP कॉन्फिगरेशन XML घेते.

rasdial "Office IKEv2" शेलमधून कनेक्शन उचलते, आणि इव्हेंट लॉगऐवजी निकाल समोर पाहण्याचा हा सर्वात वेगवान मार्ग आहे.

जोडलेला बोगदा काय सिद्ध करत नाही

जोडलेली स्थिती IKE देवाणघेवाण आणि प्रमाणीकरण टप्पा व्यापते, त्यापुढे काहीही नाही. DNS वर्तन, खाजगी होस्टपर्यंतचा मार्ग आणि दूरचे फायरवॉल हे सर्व अजून सिद्ध झालेले नाही. बाहेरच्या दिशेने काम करा: बोगदा अडॅप्टर, नंतर खाजगी पत्त्यासाठी रूट शोध, नंतर तुम्हाला परवानगी असलेली एक सेवा. पहिले अपयशी निरीक्षण तपासायचा स्तर दाखवते.

प्रोफाइल बदलताना, पुन्हा तयार करण्यापूर्वी मागील एक Remove-VpnConnection -Name "Office IKEv2" -Force ने हटवा; अन्यथा संपादनानंतरही जुनी सेटिंग्ज आणि रूट राहतात. तरीही जोडत नसेल, तर प्रोफाइलमध्ये नोंदवलेली थंबप्रिंट स्टोअरमधील थंबप्रिंटशी तुलना करा, कारण Windows अपरिवर्तित विषयाखाली दरम्यान बदललेल्या ओळखीचा संदर्भ ठेवू शकते.

थंबप्रिंट, EAP पद्धत आणि रूट यादी प्रोफाइलच्या शेजारी ठेवा. एकत्रितपणे ते नंतर जे चुकते त्याचा बहुतांश भाग स्पष्ट करतात.