Skript en Azure P2S VPN-profil for alle Windows-brukere

Manuell utdeling av en Azure punkt-til-område-pakke virker for fem bærbare PC-er og bryter sammen ved femti. Den skriptbaserte veien rommer to feller som hver koster en ettermiddag: en parameterfeil som fremstår som en sertifikatfeil, og en rute som forbindelsen aldri installerer, selv når alt annet stemmer. Begge står uløst selv om klientpakken lastes ned på nytt. Utfør kontrollene nedenfor i rekkefølge og stans ved den første som svikter.

Jeg beholder rekkefølgen fast fordi hvert steg forutsetter at det foregående er korrekt.

1. Rett profilomfanget før den første enheten

En profil for alle brukere ligger på maskinen og dukker opp i hver økt. En profil per bruker følger én konto og oppbevarer påloggingsdetaljene i sammenhengen til den kontoen. Velg én og bli hos den, fordi en maskin som har begge viser to oppføringer med samme navn, og brukere kobler seg til den som dukker opp først. Å endre omfanget senere innebærer å fjerne den gamle profilen først i stedet for å redigere den der den er.

Profiler for alle brukere egner seg for delte enheter og kiosker der ingen logger på med en personlig konto. De er feil forvalg når sertifikatet utstedes per person, ettersom en maskinomspennende profil ikke kan fremvise påloggingsdetaljer som tilhører noen andre. Noter valget i distribusjonsloggen før den andre bærbare PC-en eksisterer.

2. Overlever brytere som brytere

Add-VpnConnection tar bryterparametre som enten finnes eller ikke finnes. Å sende $true til dem utløser en EapConfigXmlStream-feil, og det er grunnen til at så mange tråder om emnet ender med å granske sertifikatkjeder som aldri var problemet.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Gatewayadressen over er bare et eksempel; hent den virkelige fra den nedlastede pakken og hold den i anførselstegn. -AllUserConnection krever en forhøyet økt, og profilen den oppretter er maskinomspennende selv om du kjørte kommandoen som administrator. Les parametersettet med Get-Help Add-VpnConnection -Parameter * før du fester flere brytere.

3. Legg til ruten som adapteret ikke legger til

Punkt-til-område-adapteret installerer én rute for klientadresseområdet og intet annet.

Et prefiks for et virtuelt nettverk utenfor dette området forblir utilgjengelig mens tunnelen fortsatt melder Connected, og det er den mest forvirrende feilen i denne arbeidsflyten. Legg ruten til uttrykkelig etter at forbindelsen lykkes, og rett den mot grensesnittadressen adapteret mottok i stedet for mot det offentlige gateway-navnet. Adressen kommer fra ipconfig etter tilkobling, og den endres mellom økter.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Fjern ruten ved frakobling slik at et utdatert neste hopp ikke senere kan sende trafikk i et svart hull. Behandle kommandoen som et dokumentert lokalt avvik: dersom en fremtidig klientutgave legger til ruten selv, blir linjen din en duplikat som konkurrerer med pakkens eget neste hopp.

4. Kontroller som vanlig bruker

En administratorøkt skjuler omfangsfeil, fordi forhøyelse av og til skaffer påloggingsdetaljer som den virkelige brukeren ikke ville hatt.

Logg på som ikke-administrator, koble til via profilen og prøv én privat tjeneste i stedet for det åpne internettet. Bekreft at profilen vises i Get-VpnConnection -AllUserConnection, at tilstanden når Connected, og at ruten du la til peker mot gjeldende adapteradresse. Sett deretter maskinen i hvile, vekk den og sammenlign ipconfig på nytt.

5. Fjern en dårlig utrulling ryddig

Remove-VpnConnection med -AllUserConnection og -Force sletter den maskinomspennende profilen. Force er viktig fordi en tilkoblet profil ellers nekter å bli fjernet, og en halvveis fjernet profil er vanskeligere å diagnostisere enn en ren reinstallasjon.

Ta vare på profilnavnet, gatewayadressen og de tilføyde rutene i distribusjonsnotatene. Disse tre verdiene er det en helpdesk-samtale trenger før noen åpner en sak, og de er også det neste skript trenger når gatewayadressen endres. Føy til versjonen av klientpakken i samme notat, fordi rutens oppførsel hører til den pakken og ikke til Windows.