Byggje ein IKEv2-VPN i PowerShell med eit maskinsertifikat

Windows leverer ein IKEv2-klient som PowerShell styrer frå ende til annan, så ein fungerande tunnel treng verken GUI eller programvare frå tredjepart. Nesten kvar feil kjem frå tre stader: kvar sertifikatet hamna, korleis ruteprefiksa vart skrivne, og kva den valde EAP-metoden ventar. Handter dei i den rekkjefølgja, fordi kvar av dei kan kontrollerast før den neste byrjar, og ein seinare feil vil skjule ein tidlegare.

Maskinsertifikattunnelar finst for å starte før nokon loggar på, og difor må identiteten vanlegvis liggje i lagringa til datamaskinen og ikkje i ei brukar si.

Sertifikatet fyrst, tunnelen etterpå

To importar betyr noko. Klientidentiteten hamnar i Cert:\LocalMachine\My via Import-PfxCertificate, og den utskrivande CA-en hamnar i Cert:\LocalMachine\Root via Import-Certificate. Eit bladsertifikat åleine provar ingen kjede, så hoppar du over den andre importen, står stadfestinga utan noko å byggje på. I tillegg til tilstadevere må den private nøkkelen vere knytt til, og datamaskinkontoen må ha lov til å lese han. Get-ChildItem Cert:\LocalMachine\My viser kva som er kome; samanlikn fingeravtrykk framfor subjekt, sidan nesten identiske subjekt er vanlege.

Kontroller den utvida nøkkelbruken før du rullar ut. Klientautentisering er det vanlege kravet for ein IKEv2-maskinidentitet, og den andre sida må stole på CA-en som signerte han. Ein identitet i lagringa til ein brukar finst ikkje for ei tilkopling i datamaskinkontekst.

Opprett profilen og rutene

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection skriv profilen. Brytaren -AllUserConnection publiserer han i den globale telefonboka, høveleg for ein delt eller tenesteadministrert maskin; utelat han for éin brukar. Uansett kva adresse du sender, må ho samsvare med DNS-namnet i sertifikatet til tenaren, elles viser feilen seg etter at tunnelen alt er oppe. Deretter vert prefiks lagde til eitt om gongen med Add-VpnConnectionRoute, og berre dei designet faktisk treng.

IPv6 har ein eigenskap: Windows nektar ::/0 som VPN-rute, så ::/1 og 8000::/1 dekkjer saman det same adresserommet. Å rute eit prefiks gjev heller ingenting i den eksterne brannmuren, så prefikslista og brannmurpolitikken blir verande skilde dokument.

Legitimasjon høyrer til autentiseringsmetoden

Ein profil med maskinsertifikat treng ingen brukarhemmelegheit i det heile, medan ein EAP-MSCHAPv2-profil gjer det. I det andre tilfellet tilbyr modulen VPNCredentialsHelper Set-VpnConnectionUsernamePassword, og han vil ha rein tekst: $cred.Password er ein SecureString, så pakk han ut fyrst med GetNetworkCredential().Password. Installer modulen overalt der kommandoen køyrer, ikkje berre på arbeidsstasjonen der han vart skriven. EAP-TLS eller ein eigendefinert metode brukar ikkje denne cmdleten i det heile; dei tek i staden ein EAP-konfigurasjons-XML.

rasdial "Office IKEv2" reiser tilkoplinga frå eit skal, som er den snøggaste måten å sjå resultatet i forgrunnen i staden for i ein hendingslogg.

Kva ein tilkopla tunnel ikkje provar

Tilkopla-status dekkjer IKE-utvekslinga og autentiseringstrinnet, og ingenting utover det. DNS-åtferd, vegen til ein privat vert og den eksterne brannmuren er alle framleis uprovde. Arbeid deg utover: tunneladapteren, deretter eit ruteoppslag for ei privat adresse, deretter éi teneste du har løyve til. Den fyrste observasjonen som feilar, peikar på laget som skal granskast.

Når du endrar ein profil, slett den førre med Remove-VpnConnection -Name "Office IKEv2" -Force før du opprettar han på nytt; elles held utdaterte innstillingar og ruter fram gjennom redigeringa. Viss han framleis ikkje koplar til, samanlikn fingeravtrykket som er registrert i profilen, med det som finst i lagringa, fordi Windows kan halde ei tilvising til ein identitet som sidan er bytt ut under eit uendra subjekt.

Hald fingeravtrykket, EAP-metoden og rutelista ved sida av profilen. Saman forklarer dei det meste av det som går gale seinare.