Bygg en IKEv2-VPN i PowerShell med et maskinsertifikat

Windows leverer en IKEv2-klient som PowerShell styrer fra ende til annen, så en fungerende tunnel trenger verken GUI eller programvare fra tredjepart. Nesten hver feil kommer fra tre steder: hvor sertifikatet havnet, hvordan ruteprefiksene ble skrevet, og hva den valgte EAP-metoden forventer. Håndter dem i den rekkefølgen, fordi hver av dem kan kontrolleres før den neste begynner, og en senere feil vil skjule en tidligere.

Maskinsertifikattunneler finnes for å starte før noen logger på, og derfor må identiteten vanligvis ligge i datamaskinens lager og ikke i en brukers.

Sertifikatet først, tunnelen etterpå

To importer betyr noe. Klientidentiteten havner i Cert:\LocalMachine\My via Import-PfxCertificate, og den utstedende CA-en havner i Cert:\LocalMachine\Root via Import-Certificate. Et bladsertifikat alene beviser ingen kjede, så hopper du over den andre importen, står verifiseringen uten noe å bygge på. I tillegg til tilstedeværelse må den private nøkkelen være tilknyttet, og datamaskinkontoen må ha lov til å lese den. Get-ChildItem Cert:\LocalMachine\My viser hva som er ankommet; sammenlign fingeravtrykk fremfor subjekter, siden nesten identiske subjekter er vanlige.

Kontroller den utvidede nøkkelbruken før du ruller ut. Klientautentisering er det vanlige kravet for en IKEv2-maskinidentitet, og den andre siden må stole på CA-en som signerte den. En identitet i en brukers lager finnes ikke for en tilkobling i datamaskinkontekst.

Opprett profilen og rutene

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection skriver profilen. Bryteren -AllUserConnection publiserer den i den globale telefonboken, passende for en delt eller tjenesteadministrert maskin; utelat den for én bruker. Uansett hvilken adresse du sender, må den samsvare med DNS-navnet i serverens sertifikat, ellers vises feilen etter at tunnelen allerede er oppe. Deretter legges prefikser til ett om gangen med Add-VpnConnectionRoute, og bare dem designet faktisk trenger.

IPv6 har en egenhet: Windows avviser ::/0 som VPN-rute, så ::/1 og 8000::/1 dekker til sammen det samme adresserommet. Å rute et prefiks gir heller ingenting i den eksterne brannmuren, så prefikslisten og brannmurpolicyen forblir separate dokumenter.

Legitimasjon hører til autentiseringsmetoden

En profil med maskinsertifikat trenger ingen brukerhemmelighet i det hele tatt, mens en EAP-MSCHAPv2-profil gjør det. I det andre tilfellet tilbyr modulen VPNCredentialsHelper Set-VpnConnectionUsernamePassword, og den vil ha ren tekst: $cred.Password er en SecureString, så pakk den ut først med GetNetworkCredential().Password. Installer modulen overalt der kommandoen kjører, ikke bare på arbeidsstasjonen der den ble skrevet. EAP-TLS eller en egendefinert metode bruker ikke denne cmdleten i det hele tatt; den tar i stedet en EAP-konfigurasjons-XML.

rasdial "Office IKEv2" reiser tilkoblingen fra et skall, som er den raskeste måten å se resultatet i forgrunnen i stedet for i en hendelseslogg.

Hva en tilkoblet tunnel ikke beviser

Tilkoblet-status dekker IKE-utvekslingen og autentiseringstrinnet, og ingenting utover det. DNS-atferd, veien til en privat vert og den eksterne brannmuren er alle fortsatt ubeviste. Arbeid deg utover: tunneladapteren, deretter et ruteoppslag for en privat adresse, deretter én tjeneste du har tillatelse til. Den første observasjonen som feiler, peker på laget som skal undersøkes.

Når du endrer en profil, slett den forrige med Remove-VpnConnection -Name "Office IKEv2" -Force før du gjenoppretter den; ellers består utdaterte innstillinger og ruter gjennom redigeringen. Hvis den fortsatt ikke kobler til, sammenlign fingeravtrykket som er registrert i profilen, med det som finnes i lageret, fordi Windows kan holde en referanse til en identitet som siden er erstattet under et uendret subjekt.

Hold fingeravtrykket, EAP-metoden og rutelisten ved siden av profilen. Sammen forklarer de det meste av det som går galt senere.