Bina VPN IKEv2 dalam PowerShell dengan Sijil Mesin

Windows menyediakan klien IKEv2 yang dikawal PowerShell dari awal hingga akhir, jadi terowong yang berfungsi tidak memerlukan GUI mahupun perisian pihak ketiga. Hampir setiap kegagalan datang dari tiga tempat: di mana sijil berakhir, bagaimana awalan laluan ditulis dan apa yang dijangka oleh kaedah EAP yang dipilih. Tangani semuanya dalam urutan itu, kerana setiap satu boleh diperiksa sebelum yang seterusnya bermula dan ralat yang lebih lewat akan menyembunyikan ralat yang lebih awal.

Terowong sijil mesin wujud untuk bermula sebelum sesiapa log masuk, sebab itulah identiti biasanya mesti tinggal dalam stor komputer dan bukan stor pengguna.

Sijil dahulu, terowong kemudian

Dua import penting. Identiti klien masuk ke Cert:\LocalMachine\My melalui Import-PfxCertificate, dan CA pengeluar masuk ke Cert:\LocalMachine\Root melalui Import-Certificate. Satu sijil daun sahaja tidak membuktikan sebarang rantai, jadi melangkau import kedua meninggalkan pengesahan tanpa asas. Selain kewujudan, kunci peribadi mesti dilampirkan dan akaun komputer mesti dibenarkan membacanya. Get-ChildItem Cert:\LocalMachine\My menyenaraikan apa yang tiba; bandingkan cap jari dan bukan subjek, kerana subjek yang hampir serupa adalah biasa.

Semak penggunaan kunci lanjutan sebelum menggunakan. Pengesahan klien ialah keperluan biasa untuk identiti mesin IKEv2, dan pihak bertentangan mesti mempercayai CA yang menandatanganinya. Identiti dalam stor pengguna tidak wujud bagi sambungan dalam konteks komputer.

Cipta profil dan laluannya

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection menulis profil. Suis -AllUserConnection menerbitkannya dalam buku telefon global, sesuai untuk mesin dikongsi atau diurus perkhidmatan; tinggalkannya untuk seorang pengguna. Apa jua alamat yang anda berikan mesti sepadan dengan nama DNS dalam sijil pelayan, jika tidak kegagalan muncul selepas terowong sudah naik. Awalan kemudian ditambah satu demi satu dengan Add-VpnConnectionRoute, dan hanya yang benar-benar diperlukan oleh reka bentuk.

IPv6 mempunyai satu keanehan: Windows menolak ::/0 sebagai laluan VPN, jadi ::/1 dan 8000::/1 bersama-sama meliputi ruang alamat yang sama. Menghalakan awalan juga tidak memberi apa-apa pada firewall jauh, jadi senarai awalan dan dasar firewall kekal sebagai dokumen berasingan.

Kelayakan milik kaedah pengesahan

Profil sijil mesin tidak memerlukan sebarang rahsia pengguna, manakala profil EAP-MSCHAPv2 memerlukannya. Untuk kes kedua modul VPNCredentialsHelper menyediakan Set-VpnConnectionUsernamePassword, dan ia mahukan teks biasa: $cred.Password ialah SecureString, jadi buka dahulu dengan GetNetworkCredential().Password. Pasang modul di mana-mana arahan dijalankan, bukan hanya pada stesen kerja tempat ia digubal. EAP-TLS atau kaedah tersuai tidak menggunakan cmdlet ini sama sekali; ia mengambil XML konfigurasi EAP sebagai gantinya.

rasdial "Office IKEv2" menaikkan sambungan dari shell, iaitu cara terpantas untuk melihat hasilnya di latar depan dan bukan dalam log peristiwa.

Apa yang tidak dibuktikan oleh terowong yang bersambung

Status bersambung meliputi pertukaran IKE dan langkah pengesahan, dan tidak lebih daripada itu. Tingkah laku DNS, laluan ke hos peribadi dan firewall jauh semuanya masih belum dibuktikan. Bekerja ke luar: penyesuai terowong, kemudian carian laluan untuk alamat peribadi, kemudian satu perkhidmatan yang anda dibenarkan gunakan. Pemerhatian pertama yang gagal menunjukkan lapisan yang perlu disiasat.

Apabila menukar profil, hapuskan yang sebelumnya dengan Remove-VpnConnection -Name "Office IKEv2" -Force sebelum menciptanya semula; jika tidak, tetapan dan laluan usang kekal selepas suntingan. Jika ia masih tidak bersambung, bandingkan cap jari yang direkodkan dalam profil dengan yang ada dalam stor, kerana Windows boleh menyimpan rujukan kepada identiti yang sejak itu telah diganti di bawah subjek yang tidak berubah.

Simpan cap jari, kaedah EAP dan senarai laluan di sebelah profil. Bersama-sama semuanya menjelaskan sebahagian besar apa yang silap kemudian.