Importa profil VPN f'PowerShell bl-Add-VpnConnection

Add-VpnConnection joħloq biss profili nattivi ta' Windows. Qabbel it-tunnel u l-awtentikazzjoni mal-gateway, issettja l-ambitu b'mod intenzjonat, imbagħad ittestja r-rotot u d-DNS.

M'hemm l-ebda cmdlet Import-VpnProfile, u dak li jixbah l-aktar, Add-VpnConnection, qatt ma jaqra fajl .ovpn jew .conf. Huwa jarma profil nattiv ta' Windows mill-parametri li tagħti, u għalhekk l-ewwel punt ta' verifika hawn huwa l-format tal-fajl u mhux il-linja tal-kmand. Jekk il-gateway jitkellem SSTP, IKEv2, L2TP/IPsec jew PPTP, Windows jista' jkollu l-profil u l-bqija tal-lista tapplika. Jekk ingħatajt fajl OpenVPN jew WireGuard, waqaf fl-ewwel pass: dawk il-klijenti għandhom l-importaturi tagħhom.

Pass 1: Ikkonferma liema profil Windows jista' verament ikollu

Mexxi Get-Command -Module VpnClient fuq il-magna qabel kull ħaġa oħra. Windows 10, Windows 11 u Server 2016 jew aktar ġodda jiġu bil-modulu; jekk jonqos, l-ebda skript ikkupjat mhu se jġiegħel lil dan il-host jaċċetta profil nattiv. Il-cmdlets li jgħoddu huma Add-VpnConnection, Get-VpnConnection u Remove-VpnConnection, u ir-referenza tal-Add-VpnConnection il-lista tal-parametri tagħha jistħoqqilha qari sħiħ darba.

Nattiv ifisser li l-munzell VPN ta' Windows itemm it-tunnel. Dan ikopri IKEv2, spiss b'ċertifikat tal-magna; SSTP, li huwa TLS b'awtentikazzjoni tal-utent jew taċ-ċertifikat ġewwa; u L2TP/IPsec b'ċavetta maqsuma minn qabel. Fajl .ovpn huwa skript OpenVPN, mhux konnessjoni Windows: iġorr direttivi bħal remote, cipher jew tls-auth li l-munzell Windows m'għandux idea dwarhom. Il-.conf ta' WireGuard hija l-istess storja b'PrivateKey u AllowedIPs; li tibdel wieħed fl-ieħor mhix għażla ta' parametru iżda implimentazzjoni oħra tat-tunnel.

Hemm ukoll it-tielet fergħa. Jekk amministratur jagħtik dokument XML VPNv2 CSP jew profil Intune, dak huwa t-triq MDM, applikata mill-munzell tal-provvista u mhux mill-Add-VpnConnection. Tittraduċix dawk l-ismijiet tan-nodi f'parametri PowerShell; staqsi minflok liema mekkaniżmu japplika l-XML.

Pass 2: Par l-għamla tat-tunnel mal-metodu ta' awtentikazzjoni

-TunnelType u -AuthenticationMethod huma parametri separati, u l-gateway jimpurtah biss mit-taħlita. Wieħed tajjeb u l-ieħor ħażin u jkollok profil li ma jqabbad ma' xejn, jew li jixtieq waqt li t-tunnel ikun diġà fuq. Issettja t-tnejn b'mod espliċitu minflok ma tafda fil-valur awtomatiku magħżul għal servizz ieħor.

  • IKEv2 mal-MachineCertificate: il-klijent jippreżenta ċertifikat tal-kompjuter; issettja wkoll -EncryptionLevel Required.
  • SSTP mal-Eap: l-ewwel it-tunnel TLS, imbagħad PEAP/MSCHAPv2 jew ċertifikat ġewwa l-EAP. Dan jeħtieġ l-XML tal-pass 3.
  • SSTP, L2TP jew PPTP mal-MSChapv2, Chap jew Pap: isem tal-utent u password sempliċi, mingħajr blob EAP.
  • L2TP mal-MSChapv2 u -Lt2pPsk: il-PSK tkopri n-nofs IPsec, l-utent ikopri l-PPP; it-tnejn iridu jaqblu mas-server.

Splat iżomm il-valuri f'post wieħed:

$p = @{
  Name                 = "Corp IKEv2"
  ServerAddress        = "vpn.example.com"
  TunnelType           = "Ikev2"
  AuthenticationMethod = "MachineCertificate"
  EncryptionLevel      = "Required"
  SplitTunneling       = $false
  DnsSuffix            = "corp.example.com"
}
Add-VpnConnection @p -PassThru

-PassThru jrodd l-oġġett li Windows għadu kemm kiteb, sabiex tkun tista' teżaminah mingħajr tieni sejħa. Jekk l-isem diġà jeżisti, il-cmdlet jirrifjuta li jaħdem; -Force jikteb fuqu, u dak huwa rifless ħażin fuq laptop tal-produzzjoni, għax iwaddab bil-kwiet dak kollu li xi ħadd ikkonfigura bl-idejn.

Pass 3: Agħti l-materjal tal-kredenzjali kif suppost

Il-passwords, iċ-ċwievet maqsuma minn qabel u l-blobs tal-EAP huma l-post fejn dawn l-iscripts normalment jinqasmu. -EapConfigXmlStream irid XmlDocument, mhux mogħdija, għalhekk aqra u kkonverti l-fajl l-ewwel. Li tgħaddi string tipproduċi żball ta' konverżjoni li jidher bħal problema tal-iskema u jibgħat lin-nies jiktbu mill-ġdid XML li qatt ma kien ħażin.

$eap = [xml](Get-Content -Raw .\peap-mschapv2.xml)
Add-VpnConnection -Name "Corp SSTP" -ServerAddress "sstp.example.com" `
  -TunnelType Sstp -AuthenticationMethod Eap `
  -EapConfigXmlStream $eap -EncryptionLevel Required

Dak l-XML mhuwiex xi ħaġa li tinħoloq minn silta ta' blog. Huwa jsemmi t-tip tal-metodu EAP u l-awtentikazzjoni interna, u l-gateway iqabbel it-tnejn mal-politika tiegħu. Metodu intern li ma jaqbilx ifalli wara li jitlesta l-handshake TLS, li jidher eżattament bħal password ħażina u mhuwiex. Ħu l-XML minn min imexxi l-gateway, jew esportah minn profil li diġà jaħdem.

Għall-IKEv2 in-nofs taċ-ċertifikat huwa tfittxija fil-maħżen. -MachineCertificateIssuerFilter jieħu oġġett taċ-ċertifikat, u Windows jużah biex isib ċertifikat tal-klijent użabbli f'LocalMachine\My. Iċ-ċertifikat jeħtieġ ċavetta privata u katina li s-server jafda; meta wieħed jonqos, l-awtentikazzjoni tfalli mingħajr dettall utli, għalhekk iċċekkja l-maħżen l-ewwel:

Get-ChildItem Cert:\LocalMachine\My |
  Where-Object { $_.HasPrivateKey -and $_.NotAfter -gt (Get-Date) } |
  Select-Object Subject, Issuer, Thumbprint, NotAfter

Żomm is-sigrieti barra mill-fajl tal-iskript. PSK mogħti fuq il-linja tal-kmand jew moħmi f'.ps1 jispiċċa f'traskrizzjonijiet, sessjonijiet salvati u repożitorji maqsuma, u -RememberCredential jaħżen il-kredenzjali tal-utent għal aktar tard, u jbiddel test ta' darba f'awtorizzazzjoni dejjiema.

Pass 4: Iddeċiedi l-ambitu qabel l-ewwel tħaddim

L-istess cmdlet jikteb f'żewġ kotbiet tat-telefon differenti. Mingħajr -AllUserConnection il-profil huwa tiegħek u jgħix taħt %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk. Miegħu, minn prompt elevat, il-profil imur f'%ProgramData%\Microsoft\Network\Connections\Pbk\rasphone.pbk u jidher għal kull kont, inkluż l-iskrin tad-dħul.

L-ambitu mhuwiex kosmetiku. Profil tal-utenti kollha huwa dak li kont tas-servizz, kompitu skedat jew xenarju qabel id-dħul jistgħu jużaw; profil għal kull utent huwa inviżibbli għat-tlieta. L-oġġetti jinqraw ukoll b'mod differenti: Get-VpnConnection jelenka d-dħuliet tal-utent attwali, Get-VpnConnection -AllUserConnection dawk tal-magna kollha. Agħżel wieħed issa, u ttratta bidla aktar tard bħala tħassir u ħolqien mill-ġdid, mhux editjar:

# elevated prompt
Remove-VpnConnection -Name "Corp IKEv2" -Force
Add-VpnConnection -Name "Corp IKEv2" -ServerAddress "vpn.example.com" `
  -TunnelType Ikev2 -AuthenticationMethod MachineCertificate `
  -EncryptionLevel Required -AllUserConnection

Pass 5: Ittestja x'għandu verament iwassal tunnel

Ikona konnessa tipprova li t-tunnel tela' u xejn aktar. Qabbad mill-linja tal-kmand l-ewwel sabiex il-fallimenti jaslu bħala test, mhux djalogu, imbagħad aqra lura dak li rreġistra Windows:

rasdial "Corp IKEv2"
Get-VpnConnection -Name "Corp IKEv2" |
  Select-Object Name, ServerAddress, TunnelType, ConnectionStatus, SplitTunneling
Get-NetRoute -DestinationPrefix "0.0.0.0/0"

Iż-żewġ fallimenti li jirrappurtaw l-utenti waqt li l-istat għadu jgħid Connected huma d-DNS u r-rottaġġ. Issolvi isem intern u ċċekkja liema server wieġeb; profil mingħajr -DnsSuffix jista' jitunnelja perfettament u xorta jfalli f'kull tfittxija tal-intranet. Imbagħad ħares lejn ir-rotta awtomatika: b'split tunneling mitfi, ir-rotta 0.0.0.0/0 bl-inqas metrika għandha tindika lejn l-interface VPN, u b'dan mixgħul biss il-prefissi li tistenna. Jekk it-tnejn jidhru tajbin u t-traffiku xorta jmut, il-problema hija lil hinn mill-profil, fil-politika jew fil-filter tal-gateway.

Meta l-konnessjoni tfalli għal kollox, il-kodiċi jnaqqas il-pass li għandek terġa' lura għalih:

  • 691: il-gateway irrifjuta l-kredenzjali. Erġa' lura għall-pass 3, mhux għat-tunnel.
  • 809: il-handshake IKEv2 qatt ma tlestiet. Iċċekkja UDP 500 u 4500, u l-fiduċja fiċ-ċertifikat.
  • 789: iċ-ċavetta maqsuma minn qabel tal-L2TP/IPsec nieqsa jew ħażina.
  • 868: l-isem tas-server ma ġiex solvut. Sejjaħ id-DNS qabel ma tedita l-profil.

Żomm il-kmand li jaħdem ħdejn is-settings li jikkodifika, sabiex il-persuna li jmiss tkun tista' terġa' tibni minflok ma tirdokumenta l-profil mill-UI. Jekk tassew trid terġa' tibni, ħassar id-dħul u oħloq mill-ġdid bl-istess parametri; it-tiswija ta' profil nofsu kkonfigurat tħalli rotot antiki u stat ta' awtentikazzjoni warajha. U jekk il-fajl qatt ma kien nattiv, erġa' lura għall-klijent li għandu l-profil. .ovpn imlibbes bħala profil IKEv2 mhuwiex import, huwa biljett ta' appoġġ.

Artikli relatati