Ibni VPN IKEv2 f'PowerShell b'ċertifikat tal-magna

Windows jiġi b'klijent IKEv2 li PowerShell jikkontrollah mill-bidu sat-tmiem, għalhekk mina li taħdem ma teħtieġx GUI u lanqas software ta' partijiet terzi. Kważi kull falliment jiġi minn tliet postijiet: fejn spiċċa ċ-ċertifikat, kif inkitbu l-prefissi tar-rotta u x'jistenna l-metodu EAP magħżul. Ittrattahom f'dan l-ordni, għax kull wieħed jista' jiġi vverifikat qabel ma jibda dak li jmiss u żball aktar tard se jaħbi wieħed preċedenti.

Il-mini b'ċertifikat tal-magna jeżistu biex jibdew qabel ma jidħol xi ħadd, u għalhekk l-identità normalment trid tgħix fil-maħżen tal-kompjuter u mhux f'dak tal-utent.

L-ewwel iċ-ċertifikat, imbagħad il-mina

Żewġ importazzjonijiet jgħoddu. L-identità tal-klijent tmur f'Cert:\LocalMachine\My permezz ta' Import-PfxCertificate, u l-CA li toħroġ tmur f'Cert:\LocalMachine\Root permezz ta' Import-Certificate. Werqa waħedha ma tipprovax ebda katina, għalhekk li taqbeż it-tieni importazzjoni tħalli l-verifika mingħajr bażi. Minbarra l-preżenza, is-sieq privata trid tkun imwaħħla u l-kont tal-kompjuter irid ikollu permess jaqrah. Get-ChildItem Cert:\LocalMachine\My jelenka x'wasal; qabbel l-impronti tas-swaba' u mhux is-suġġetti, għax suġġetti kważi identiċi huma komuni.

Iċċekkja l-użu estiż tas-sieq qabel ma tħaddem. L-awtentikazzjoni tal-klijent hija l-ħtieġa tas-soltu għal identità tal-magna IKEv2, u n-naħa l-oħra trid tafda lill-CA li ffirmat. Identità fil-maħżen tal-utent ma teżistix għal konnessjoni f'kuntest tal-kompjuter.

Oħloq il-profil u r-rotot tiegħu

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection jikteb il-profil. Is-switch -AllUserConnection jippubblikah fil-ktieb tat-telefon globali, adattat għal magna maqsuma jew amministrata bħala servizz; ħallih barra għal utent wieħed. Kwalunkwe indirizz li tgħaddi jrid jaqbel mal-isem DNS fiċ-ċertifikat tas-server, inkella l-falliment jidher wara li l-mina tkun diġà mqajma. Imbagħad il-prefissi jiġu miżjuda wieħed wieħed b'Add-VpnConnectionRoute, u biss dawk li d-disinn tassew jeħtieġ.

IPv6 għandu stramberija: Windows jirrifjuta ::/0 bħala rotta VPN, għalhekk ::/1 u 8000::/1 flimkien ikopru l-istess spazju tal-indirizzi. L-irrotar ta' prefiss ma jagħti xejn lanqas fil-firewall imbiegħed, għalhekk il-lista tal-prefissi u l-politika tal-firewall jibqgħu dokumenti separati.

Il-kredenzjali jappartjenu għall-metodu tal-awtentikazzjoni

Profil b'ċertifikat tal-magna ma jeħtieġ l-ebda sigriet tal-utent, filwaqt li profil EAP-MSCHAPv2 jeħtieġ. Fit-tieni każ il-modulu VPNCredentialsHelper jipprovdi Set-VpnConnectionUsernamePassword, u jrid test sempliċi: $cred.Password huwa SecureString, għalhekk ħollu l-ewwel b'GetNetworkCredential().Password. Installa l-modulu kull fejn taħdem il-kmand, mhux biss fuq il-workstation fejn inkiteb. EAP-TLS jew metodu personalizzat ma jużaw dan il-cmdlet xejn; minflok jieħdu XML tal-konfigurazzjoni EAP.

rasdial "Office IKEv2" iqajjem il-konnessjoni minn shell, u dik hija l-iktar triq mgħaġġla biex tara r-riżultat fil-quddiem u mhux fil-log tal-avvenimenti.

X'ma jipprovax mina mqabbda

L-istat mqabbad ikopri l-iskambju IKE u l-pass tal-awtentikazzjoni, u xejn aktar. L-imġiba tad-DNS, it-triq lejn host privat u l-firewall imbiegħed għadhom kollha mhux ipprovati. Aħdem 'il barra: l-adapter tal-mina, imbagħad tfittxija tar-rotta għal indirizz privat, imbagħad servizz wieħed li int awtorizzat tuża. L-ewwel osservazzjoni li tfalli tindika s-saff li għandu jiġi investigat.

Meta tbiddel profil, ħassar dak preċedenti b'Remove-VpnConnection -Name "Office IKEv2" -Force qabel ma toħloq mill-ġdid; inkella settings u rotot qodma jibqgħu għaddejjin mill-editjar. Jekk xorta ma jikkonnettjax, qabbel l-impronta tas-swaba' mniżżla fil-profil ma' dik preżenti fil-maħżen, għax Windows jista' jżomm riferiment għal identità li sadattant ġiet sostitwita taħt suġġett mhux mibdul.

Żomm l-impronta tas-swaba', il-metodu EAP u l-lista tar-rotot ħdejn il-profil. Flimkien jispjegaw il-biċċa l-kbira ta' dak li jmur ħażin aktar tard.