Script een Azure P2S VPN-profiel voor elke Windows-gebruiker

Een Azure point-to-site-pakket uitdelen werkt voor vijf laptops en valt bij vijftig uit elkaar. Het gescripte pad heeft twee valkuilen die elk een middag kosten: een parameterfout die op een certificaatfout lijkt, en een route die de verbinding nooit installeert, zelfs als al het andere klopt. Geen van beide wordt verholpen door het clientpakket opnieuw te downloaden. Werk de onderstaande controles op volgorde af en stop bij de eerste die mislukt.

Ik houd de volgorde vast omdat elke stap aanneemt dat de vorige juist is.

1. Herstel het profielbereik vóór het eerste apparaat

Een profiel voor alle gebruikers staat op de machine en verschijnt in elke sessie. Een profiel per gebruiker volgt één account en bewaart de inloggegevens in de context van dat account. Kies er één en blijf daarbij, want een machine met beide toont twee vermeldingen met dezelfde naam, en gebruikers verbinden met degene die het eerst verschijnt. Het bereik later wijzigen betekent eerst het oude profiel verwijderen in plaats van het ter plaatse te bewerken.

Profielen voor alle gebruikers passen bij gedeelde apparaten en kiosken waar niemand met een persoonlijk account inlogt. Ze zijn de verkeerde standaard wanneer het certificaat per persoon wordt uitgegeven, omdat een profiel op machineniveau geen inloggegevens kan tonen die van iemand anders zijn. Schrijf de keuze in het uitrolverslag voordat de tweede laptop bestaat.

2. Geef schakelaars als schakelaars door

Add-VpnConnection neemt schakelparameters die ofwel aanwezig ofwel afwezig zijn. Er $true aan geven veroorzaakt een EapConfigXmlStream-fout, en daarom eindigen zoveel discussies hierover met het inspecteren van certificaatketens die nooit het probleem waren.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Het gatewayadres hierboven is illustratief; neem het echte uit het gedownloade pakket en houd het tussen aanhalingstekens. -AllUserConnection vereist een verhoogde sessie, en het profiel dat het aanmaakt is op machineniveau, zelfs als je de opdracht als administrator hebt uitgevoerd. Lees de parameterset met Get-Help Add-VpnConnection -Parameter * voordat je meer schakelaars toevoegt.

3. Voeg de route toe die de adapter niet toevoegt

De point-to-site-adapter installeert een route voor de clientadrespool en niets anders.

Een voorvoegsel van een virtueel netwerk buiten die pool blijft onbereikbaar terwijl de tunnel nog steeds Connected meldt, en dat is de meest verwarrende fout in deze werkstroom. Voeg de route expliciet toe nadat de verbinding is gelukt, en richt die op het interfaceadres dat de adapter heeft gekregen in plaats van op de openbare gatewaynaam. Dat adres komt na het verbinden uit ipconfig, en het verandert tussen sessies.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Verwijder de route bij het verbreken zodat een verouderde volgende hop later geen verkeer in een zwart gat kan sturen. Behandel de opdracht als een gedocumenteerde lokale afwijking: als een toekomstige clientrelease de route zelf toevoegt, wordt jouw regel een duplicaat dat met de eigen volgende hop van het pakket concurreert.

4. Verifieer als standaardgebruiker

Een administratorsessie verbergt bereikfouten, omdat verhoging soms inloggegevens levert die de echte gebruiker niet zou hebben.

Log in als niet-administrator, verbind via het profiel en test één privédienst in plaats van het openbare internet. Bevestig dat het profiel in Get-VpnConnection -AllUserConnection verschijnt, dat de status Connected bereikt en dat je toegevoegde route naar het huidige adapteradres wijst. Zet de machine daarna in slaapstand, wek hem en vergelijk ipconfig opnieuw.

5. Verwijder een slechte uitrol netjes

Remove-VpnConnection met -AllUserConnection en -Force verwijdert het profiel op machineniveau. Force is belangrijk omdat een verbonden profiel anders verwijdering weigert, en een half verwijderd profiel is moeilijker te diagnosticeren dan een schone herinstallatie.

Bewaar de profielnaam, het gatewayadres en de toegevoegde routes in de uitrolnotities. Die drie waarden zijn wat een helpdeskgesprek nodig heeft voordat iemand een ticket opent, en ze zijn ook wat het volgende script nodig heeft wanneer het gatewayadres verandert. Voeg de versie van het clientpakket aan dezelfde notitie toe, want het gedrag van de route hoort bij dat pakket en niet bij Windows.