PowerShell मा मेसिन प्रमाणपत्रसँग IKEv2 VPN बनाउनुहोस्

Windows ले एउटा IKEv2 क्लाइन्ट दिन्छ जसलाई PowerShell सुरुदेखि अन्त्यसम्म नियन्त्रण गर्छ, त्यसैले काम गर्ने सुरुङलाई GUI वा तेस्रो पक्षको सफ्टवेयर आवश्यक पर्दैन। लगभग हरेक असफलता तीन ठाउँबाट आउँछ: प्रमाणपत्र कहाँ पुग्यो, रुट प्रिफिक्स कसरी लेखियो र छानिएको EAP विधिले के अपेक्षा गर्छ। तिनलाई त्यही क्रममा सम्हाल्नुहोस्, किनकि अर्को सुरु हुनुअघि प्रत्येक जाँच्न सकिन्छ र पछिको त्रुटिले अघिल्लो त्रुटि छोप्छ।

मेसिन प्रमाणपत्रका सुरुङहरू कसैले लगइन गर्नुअघि सुरु हुनका लागि हुन्छन्, त्यसैले पहिचान सामान्यतया प्रयोगकर्ताको भण्डारमा नभई कम्प्युटरको भण्डारमा रहनुपर्छ।

पहिले प्रमाणपत्र, त्यसपछि सुरुङ

दुई आयात महत्त्वपूर्ण छन्। क्लाइन्ट पहिचान Import-PfxCertificate मार्फत Cert:\LocalMachine\My मा जान्छ, र जारी गर्ने CA Import-Certificate मार्फत Cert:\LocalMachine\Root मा जान्छ। एउटै पात प्रमाणपत्रले कुनै शृङ्खला प्रमाणित गर्दैन, त्यसैले दोस्रो आयात छोड्दा जाँचलाई आधार नै रहँदैन। उपस्थितिबाहेक, निजी कुञ्जी जोडिएको हुनुपर्छ र कम्प्युटर खातालाई त्यो पढ्न अनुमति दिइनुपर्छ। Get-ChildItem Cert:\LocalMachine\My ले के आयो त्यसको सूची देखाउँछ; विषयहरू नभई थम्बप्रिन्टहरू तुलना गर्नुहोस्, किनकि लगभग उस्तै विषयहरू सामान्य हुन्छन्।

तैनाथ गर्नुअघि विस्तारित कुञ्जी प्रयोग जाँच्नुहोस्। IKEv2 मेसिन पहिचानका लागि क्लाइन्ट प्रमाणीकरण सामान्य आवश्यकता हो, र विपक्षी पक्षले त्यसलाई हस्ताक्षर गर्ने CA माथि विश्वास गर्नुपर्छ। प्रयोगकर्ताको भण्डारमा रहेको पहिचान कम्प्युटर सन्दर्भको जडानका लागि अवस्थित हुँदैन।

प्रोफाइल र यसका रुटहरू बनाउनुहोस्

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection ले प्रोफाइल लेख्छ। -AllUserConnection स्विचले यसलाई विश्वव्यापी फोन बुकमा प्रकाशित गर्छ, जुन साझा वा सेवा-व्यवस्थित मेसिनका लागि उपयुक्त हुन्छ; एक प्रयोगकर्ताका लागि यसलाई छोड्नुहोस्। तपाईंले दिनुभएको जुनसुकै ठेगाना सर्भरको प्रमाणपत्रमा भएको DNS नामसँग मिल्नुपर्छ, नत्र सुरुङ पहिले नै उभिएपछि असफलता देखिन्छ। त्यसपछि प्रिफिक्सहरू Add-VpnConnectionRoute प्रयोग गरी एक-एक गरेर थपिन्छन्, र डिजाइनलाई साँच्चै चाहिनेहरू मात्र।

IPv6 मा एउटा अनौठोपन छ: Windows ले ::/0 लाई VPN रुटका रूपमा अस्वीकार गर्छ, त्यसैले ::/1 र 8000::/1 मिलेर उही ठेगाना ठाउँ ढाक्छन्। प्रिफिक्स रुट गर्दा टाढाको फायरवालमा पनि केही दिँदैन, त्यसैले प्रिफिक्स सूची र फायरवाल नीति छुट्टाछुट्टै कागजात रहन्छन्।

प्रमाणहरू प्रमाणीकरण विधिसँग सम्बन्धित छन्

मेसिन प्रमाणपत्र प्रोफाइललाई प्रयोगकर्ताको कुनै गोप्य कुरा चाहिँदैन, तर EAP-MSCHAPv2 प्रोफाइललाई चाहिन्छ। दोस्रो अवस्थामा VPNCredentialsHelper मोड्युलले Set-VpnConnectionUsernamePassword उपलब्ध गराउँछ, र यसलाई सादा पाठ चाहिन्छ: $cred.Password एउटा SecureString हो, त्यसैले पहिले GetNetworkCredential().Password ले यसलाई खोल्नुहोस्। आदेश जहाँ चल्छ त्यहीँ मोड्युल स्थापना गर्नुहोस्, जहाँ लेखिएको थियो त्यही वर्कस्टेशनमा मात्र नभई। EAP-TLS वा अनुकूलित विधिले यो cmdlet प्रयोग गर्दैन; बरु EAP कन्फिगरेसन XML लिन्छ।

rasdial "Office IKEv2" ले शेलबाट जडान उठाउँछ, र घटना लगमा नभई अगाडि नतिजा हेर्ने यो सबैभन्दा छिटो तरिका हो।

जोडिएको सुरुङले के प्रमाणित गर्दैन

जोडिएको स्थितिले IKE आदानप्रदान र प्रमाणीकरण चरण ढाक्छ, त्यसभन्दा बढी केही होइन। DNS व्यवहार, निजी होस्टसम्मको बाटो र टाढाको फायरवाल सबै अझै प्रमाणित भएका छैनन्। बाहिरतिर काम गर्नुहोस्: सुरुङ एडाप्टर, त्यसपछि निजी ठेगानाका लागि रुट खोज, त्यसपछि तपाईंलाई अनुमति भएको एउटा सेवा। पहिलो असफल अवलोकनले जाँच्नुपर्ने तह देखाउँछ।

प्रोफाइल बदल्दा, पुनः बनाउनुअघि अघिल्लोलाई Remove-VpnConnection -Name "Office IKEv2" -Force ले मेटाउनुहोस्; नत्र सम्पादनपछि पनि पुराना सेटिङ र रुटहरू रहन्छन्। अझै जोडिएन भने, प्रोफाइलमा अभिलेख गरिएको थम्बप्रिन्टलाई भण्डारमा भएकोसँग तुलना गर्नुहोस्, किनकि Windows ले अपरिवर्तित विषयमुनि यसैबीच बदलिएको पहिचानको सन्दर्भ राख्न सक्छ।

थम्बप्रिन्ट, EAP विधि र रुट सूची प्रोफाइलको छेउमा राख्नुहोस्। सँगै तिनले पछि गलत हुने अधिकांश कुरा व्याख्या गर्छन्।