Skript en Azure P2S VPN-profil for hver Windows-bruker

Å dele ut en Azure punkt-til-område-pakke manuelt fungerer for fem bærbare maskiner og faller sammen ved femti. Den skriptede veien har to feller som hver koster en ettermiddag: en parameterfeil som ser ut som en sertifikatfeil, og en rute som tilkoblingen aldri installerer, selv når alt annet er riktig. Ingen av dem rettes ved å laste ned klientpakken på nytt. Gjør kontrollene nedenfor i rekkefølge og stopp ved den første som feiler.

Jeg holder rekkefølgen fast fordi hvert trinn forutsetter at det forrige er riktig.

1. Rett opp profilomfanget før den første enheten

En profil for alle brukere lever på maskinen og vises i hver økt. En profil per bruker følger én konto og oppbevarer påloggingsinformasjonen i konteksten til den kontoen. Velg én og hold deg til den, for en maskin med begge viser to oppføringer med samme navn, og brukere kobler til den som vises først. Å endre omfang senere betyr å fjerne den gamle profilen først i stedet for å redigere den på stedet.

Profiler for alle brukere passer for delte enheter og kiosker der ingen logger på med en personlig konto. De er feil standard når sertifikatet utstedes per person, siden en maskinomfattende profil ikke kan legge frem påloggingsinformasjon som tilhører noen andre. Skriv valget i distribusjonsprotokollen før den andre bærbare maskinen finnes.

2. Send brytere som brytere

Add-VpnConnection tar bryterparametere som enten er til stede eller ikke. Å gi dem $true utløser en EapConfigXmlStream-feil, og derfor ender så mange tråder om dette med å undersøke sertifikatkjeder som aldri var problemet.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Gatewayadressen over er illustrativ; ta den ekte fra den nedlastede pakken og hold den i anførselstegn. -AllUserConnection krever en forhøyet økt, og profilen den oppretter er maskinomfattende selv om du kjørte kommandoen som administrator. Les parametersettet med Get-Help Add-VpnConnection -Parameter * før du legger til flere brytere.

3. Legg til ruten adapteret ikke legger til

Punkt-til-område-adapteret installerer en rute for klientadresseutvalget og ingenting annet.

Et prefiks for et virtuelt nettverk utenfor det utvalget forblir utilgjengelig mens tunnelen fortsatt rapporterer Connected, og det er den mest forvirrende feilen i denne arbeidsflyten. Legg til ruten eksplisitt etter at tilkoblingen lykkes, og pek den mot grensesnittadressen adapteret fikk i stedet for mot det offentlige gateway-navnet. Den adressen kommer fra ipconfig etter tilkobling, og den endres mellom økter.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Slett ruten ved frakobling slik at et utdatert neste hopp ikke senere kan sende trafikk i et svart hull. Behandle kommandoen som et dokumentert lokalt avvik: hvis en fremtidig klientversjon legger til ruten selv, blir linjen din en duplikat som konkurrerer med pakkens eget neste hopp.

4. Verifiser som standardbruker

En administratorøkt skjuler omfangsfeil, fordi forhøyelse noen ganger leverer påloggingsinformasjon den virkelige brukeren ikke ville hatt.

Logg på som ikke-administrator, koble til gjennom profilen, og test én privat tjeneste i stedet for det offentlige internettet. Bekreft at profilen vises i Get-VpnConnection -AllUserConnection, at tilstanden når Connected, og at ruten du la til peker mot den gjeldende adapteradressen. Deretter sett maskinen i dvale, vekk den, og sammenlign ipconfig igjen.

5. Fjern en dårlig utrulling rent

Remove-VpnConnection med -AllUserConnection og -Force sletter den maskinomfattende profilen. Force betyr noe fordi en tilkoblet profil ellers nekter å bli fjernet, og en halvfjernet profil er vanskeligere å diagnostisere enn en ren reinstallasjon.

Hold profilnavnet, gatewayadressen og de tilføyde rutene i distribusjonsnotatene. De tre verdiene er det en helpdesk-samtale trenger før noen åpner en sak, og de er også det neste skript trenger når gatewayadressen endres. Legg til versjonen av klientpakken i samme notat, fordi rutens oppførsel tilhører den pakken og ikke Windows.