PowerShell ਵਿੱਚ ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ ਨਾਲ IKEv2 VPN ਬਣਾਓ

Windows ਇੱਕ IKEv2 ਕਲਾਇੰਟ ਦਿੰਦਾ ਹੈ ਜਿਸਨੂੰ PowerShell ਸ਼ੁਰੂ ਤੋਂ ਅੰਤ ਤੱਕ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਕੰਮ ਕਰਨ ਵਾਲੀ ਟਨਲ ਨੂੰ ਨਾ GUI ਚਾਹੀਦਾ ਹੈ ਨਾ ਤੀਜੀ ਧਿਰ ਦਾ ਸਾਫਟਵੇਅਰ। ਲਗਭਗ ਹਰ ਫੇਲ੍ਹ ਤਿੰਨ ਥਾਵਾਂ ਤੋਂ ਆਉਂਦੀ ਹੈ: ਸਰਟੀਫਿਕੇਟ ਕਿੱਥੇ ਪਹੁੰਚਿਆ, ਰੂਟ ਪ੍ਰੀਫਿਕਸ ਕਿਵੇਂ ਲਿਖੇ ਗਏ ਅਤੇ ਚੁਣੀ ਗਈ EAP ਵਿਧੀ ਕੀ ਉਮੀਦ ਕਰਦੀ ਹੈ। ਇਹਨਾਂ ਨੂੰ ਇਸੇ ਕ੍ਰਮ ਵਿੱਚ ਸੰਭਾਲੋ, ਕਿਉਂਕਿ ਹਰ ਇੱਕ ਅਗਲੇ ਦੇ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚਿਆ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਬਾਅਦ ਦੀ ਗਲਤੀ ਪਹਿਲਾਂ ਦੀ ਗਲਤੀ ਨੂੰ ਲੁਕਾ ਦੇਵੇਗੀ।

ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ ਵਾਲੀਆਂ ਟਨਲਾਂ ਇਸ ਲਈ ਹੁੰਦੀਆਂ ਹਨ ਕਿ ਕੋਈ ਲੌਗਇਨ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸ਼ੁਰੂ ਹੋਣ, ਇਸ ਲਈ ਪਛਾਣ ਆਮ ਤੌਰ ’ਤੇ ਵਰਤੋਂਕਾਰ ਦੇ ਸਟੋਰ ਵਿੱਚ ਨਹੀਂ, ਕੰਪਿਊਟਰ ਦੇ ਸਟੋਰ ਵਿੱਚ ਰਹਿਣੀ ਚਾਹੀਦੀ ਹੈ।

ਪਹਿਲਾਂ ਸਰਟੀਫਿਕੇਟ, ਫਿਰ ਟਨਲ

ਦੋ ਆਯਾਤ ਮਹੱਤਵਪੂਰਨ ਹਨ। ਕਲਾਇੰਟ ਪਛਾਣ Import-PfxCertificate ਰਾਹੀਂ Cert:\LocalMachine\My ਵਿੱਚ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਜਾਰੀ ਕਰਨ ਵਾਲਾ CA Import-Certificate ਰਾਹੀਂ Cert:\LocalMachine\Root ਵਿੱਚ ਜਾਂਦਾ ਹੈ। ਇੱਕਲਾ ਪੱਤਾ ਸਰਟੀਫਿਕੇਟ ਕੋਈ ਲੜੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਦੂਜਾ ਆਯਾਤ ਛੱਡਣ ਨਾਲ ਜਾਂਚ ਕੋਲ ਆਧਾਰ ਨਹੀਂ ਰਹਿੰਦਾ। ਮੌਜੂਦਗੀ ਤੋਂ ਇਲਾਵਾ, ਨਿੱਜੀ ਕੁੰਜੀ ਜੁੜੀ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਕੰਪਿਊਟਰ ਖਾਤੇ ਨੂੰ ਇਸਨੂੰ ਪੜ੍ਹਨ ਦੀ ਆਗਿਆ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। Get-ChildItem Cert:\LocalMachine\My ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕੀ ਆਇਆ; ਵਿਸ਼ਿਆਂ ਦੀ ਬਜਾਏ ਥੰਬਪ੍ਰਿੰਟ ਦੀ ਤੁਲਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਲਗਭਗ ਇੱਕੋ ਜਿਹੇ ਵਿਸ਼ੇ ਆਮ ਹਨ।

ਤੈਨਾਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਵਿਸਤ੍ਰਿਤ ਕੁੰਜੀ ਵਰਤੋਂ ਜਾਂਚੋ। IKEv2 ਮਸ਼ੀਨ ਪਛਾਣ ਲਈ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਆਮ ਲੋੜ ਹੈ, ਅਤੇ ਸਾਮ੍ਹਣੇ ਵਾਲੇ ਪਾਸੇ ਨੂੰ ਉਸ CA ’ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਪਵੇਗਾ ਜਿਸਨੇ ਇਸ ’ਤੇ ਦਸਤਖਤ ਕੀਤੇ। ਵਰਤੋਂਕਾਰ ਦੇ ਸਟੋਰ ਵਿੱਚਲੀ ਪਛਾਣ ਕੰਪਿਊਟਰ-ਸੰਦਰਭ ਦੇ ਕਨੈਕਸ਼ਨ ਲਈ ਮੌਜੂਦ ਨਹੀਂ ਹੈ।

ਪ੍ਰੋਫਾਈਲ ਅਤੇ ਇਸਦੇ ਰੂਟ ਬਣਾਓ

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection ਪ੍ਰੋਫਾਈਲ ਲਿਖਦਾ ਹੈ। -AllUserConnection ਸਵਿੱਚ ਇਸਨੂੰ ਗਲੋਬਲ ਫੋਨ ਬੁੱਕ ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਦਾ ਹੈ, ਜੋ ਸਾਂਝੇ ਜਾਂ ਸੇਵਾ-ਪ੍ਰਬੰਧਿਤ ਮਸ਼ੀਨ ਲਈ ਢੁਕਵਾਂ ਹੈ; ਇੱਕ ਵਰਤੋਂਕਾਰ ਲਈ ਇਸਨੂੰ ਛੱਡ ਦਿਓ। ਤੁਸੀਂ ਜੋ ਵੀ ਪਤਾ ਦਿਓ, ਉਸਨੂੰ ਸਰਵਰ ਦੇ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚਲੇ DNS ਨਾਮ ਨਾਲ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਨਹੀਂ ਤਾਂ ਗਲਤੀ ਟਨਲ ਪਹਿਲਾਂ ਹੀ ਖੜ੍ਹੀ ਹੋਣ ਤੋਂ ਬਾਅਦ ਦਿਖਦੀ ਹੈ। ਫਿਰ ਪ੍ਰੀਫਿਕਸ Add-VpnConnectionRoute ਨਾਲ ਇੱਕ-ਇੱਕ ਕਰਕੇ ਜੋੜੇ ਜਾਂਦੇ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਉਹੀ ਜੋ ਡਿਜ਼ਾਈਨ ਨੂੰ ਸੱਚਮੁੱਚ ਚਾਹੀਦੇ ਹਨ।

IPv6 ਵਿੱਚ ਇੱਕ ਅਜੀਬ ਗੱਲ ਹੈ: Windows ::/0 ਨੂੰ VPN ਰੂਟ ਵਜੋਂ ਅਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ::/1 ਅਤੇ 8000::/1 ਮਿਲ ਕੇ ਉਹੀ ਪਤਾ ਥਾਂ ਢਕਦੇ ਹਨ। ਪ੍ਰੀਫਿਕਸ ਰੂਟ ਕਰਨ ਨਾਲ ਦੂਰ ਦੇ ਫਾਇਰਵਾਲ ’ਤੇ ਵੀ ਕੁਝ ਨਹੀਂ ਮਿਲਦਾ, ਇਸ ਲਈ ਪ੍ਰੀਫਿਕਸ ਸੂਚੀ ਅਤੇ ਫਾਇਰਵਾਲ ਨੀਤੀ ਵੱਖਰੇ ਦਸਤਾਵੇਜ਼ ਹੀ ਰਹਿੰਦੇ ਹਨ।

ਪ੍ਰਮਾਣ-ਪੱਤਰ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਦੇ ਅਧੀਨ ਹਨ

ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਵਰਤੋਂਕਾਰ ਦਾ ਕੋਈ ਭੇਤ ਲੋੜੀਂਦਾ ਨਹੀਂ, ਜਦੋਂ ਕਿ EAP-MSCHAPv2 ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਲੋੜੀਂਦਾ ਹੈ। ਦੂਜੇ ਕੇਸ ਵਿੱਚ VPNCredentialsHelper ਮਾਡਿਊਲ Set-VpnConnectionUsernamePassword ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਸਾਦਾ ਟੈਕਸਟ ਮੰਗਦਾ ਹੈ: $cred.Password ਇੱਕ SecureString ਹੈ, ਇਸ ਲਈ ਪਹਿਲਾਂ GetNetworkCredential().Password ਨਾਲ ਇਸਨੂੰ ਖੋਲ੍ਹੋ। ਜਿੱਥੇ ਵੀ ਕਮਾਂਡ ਚੱਲਦੀ ਹੈ ਉੱਥੇ ਮਾਡਿਊਲ ਸਥਾਪਿਤ ਕਰੋ, ਸਿਰਫ਼ ਉਸ ਵਰਕਸਟੇਸ਼ਨ ’ਤੇ ਨਹੀਂ ਜਿੱਥੇ ਇਹ ਲਿਖਿਆ ਗਿਆ ਸੀ। EAP-TLS ਜਾਂ ਕਸਟਮ ਵਿਧੀ ਇਹ cmdlet ਬਿਲਕੁਲ ਨਹੀਂ ਵਰਤਦੀ; ਇਸਦੀ ਬਜਾਏ EAP ਸੰਰਚਨਾ XML ਲੈਂਦੀ ਹੈ।

rasdial "Office IKEv2" ਸ਼ੈੱਲ ਤੋਂ ਕਨੈਕਸ਼ਨ ਚੁੱਕਦਾ ਹੈ, ਅਤੇ ਇਵੈਂਟ ਲੌਗ ਦੀ ਬਜਾਏ ਨਤੀਜਾ ਸਾਹਮਣੇ ਦੇਖਣ ਦਾ ਇਹ ਸਭ ਤੋਂ ਤੇਜ਼ ਤਰੀਕਾ ਹੈ।

ਜੁੜੀ ਟਨਲ ਕੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ

ਜੁੜੀ ਸਥਿਤੀ IKE ਅਦਾਨ-ਪ੍ਰਦਾਨ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਪੜਾਅ ਢਕਦੀ ਹੈ, ਇਸ ਤੋਂ ਵੱਧ ਕੁਝ ਨਹੀਂ। DNS ਵਿਵਹਾਰ, ਨਿੱਜੀ ਹੋਸਟ ਤੱਕ ਦਾ ਰਾਹ ਅਤੇ ਦੂਰ ਦਾ ਫਾਇਰਵਾਲ ਸਭ ਅਜੇ ਸਾਬਤ ਨਹੀਂ ਹੋਏ। ਬਾਹਰ ਵੱਲ ਕੰਮ ਕਰੋ: ਟਨਲ ਐਡਾਪਟਰ, ਫਿਰ ਨਿੱਜੀ ਪਤੇ ਲਈ ਰੂਟ ਖੋਜ, ਫਿਰ ਇੱਕ ਸੇਵਾ ਜਿਸਦੀ ਤੁਹਾਨੂੰ ਆਗਿਆ ਹੈ। ਪਹਿਲਾ ਫੇਲ੍ਹ ਹੋਣ ਵਾਲਾ ਨਿਰੀਖਣ ਜਾਂਚਣ ਵਾਲੀ ਪਰਤ ਦੱਸਦਾ ਹੈ।

ਪ੍ਰੋਫਾਈਲ ਬਦਲਦਿਆਂ, ਦੁਬਾਰਾ ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਪਿਛਲੀ ਨੂੰ Remove-VpnConnection -Name "Office IKEv2" -Force ਨਾਲ ਮਿਟਾਓ; ਨਹੀਂ ਤਾਂ ਸੋਧ ਤੋਂ ਬਾਅਦ ਵੀ ਪੁਰਾਣੀਆਂ ਸੈਟਿੰਗਾਂ ਅਤੇ ਰੂਟ ਰਹਿ ਜਾਂਦੇ ਹਨ। ਜੇ ਫਿਰ ਵੀ ਜੁੜਦੀ ਨਹੀਂ, ਤਾਂ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਦਰਜ ਥੰਬਪ੍ਰਿੰਟ ਦੀ ਸਟੋਰ ਵਿੱਚ ਮੌਜੂਦ ਨਾਲ ਤੁਲਨਾ ਕਰੋ, ਕਿਉਂਕਿ Windows ਅਣਬਦਲੇ ਵਿਸ਼ੇ ਹੇਠ ਵਿਚਕਾਰ ਬਦਲੀ ਗਈ ਪਛਾਣ ਦਾ ਹਵਾਲਾ ਰੱਖ ਸਕਦਾ ਹੈ।

ਥੰਬਪ੍ਰਿੰਟ, EAP ਵਿਧੀ ਅਤੇ ਰੂਟ ਸੂਚੀ ਪ੍ਰੋਫਾਈਲ ਦੇ ਕੋਲ ਰੱਖੋ। ਇਕੱਠੇ ਮਿਲ ਕੇ ਇਹ ਬਾਅਦ ਵਿੱਚ ਜੋ ਗਲਤ ਹੁੰਦਾ ਹੈ ਉਸਦਾ ਬਹੁਤਾ ਹਿੱਸਾ ਸਮਝਾਉਂਦੇ ਹਨ।