Skryptuj profil VPN P2S platformy Azure dla każdego użytkownika Windows

Ręczne rozdawanie pakietu Azure typu punkt do lokacji działa dla pięciu laptopów i rozpada się przy pięćdziesięciu. Skryptowana ścieżka ma dwie pułapki, z których każda kosztuje jedno popołudnie: błąd parametru, który wygląda jak awaria certyfikatu, oraz trasa, której połączenie nigdy nie instaluje, nawet gdy wszystko inne jest w porządku. Żadnej z nich nie naprawia ponowne pobranie pakietu klienta. Wykonaj poniższe kontrole po kolei i zatrzymaj się na pierwszej, która zawiedzie.

Utrzymuję stałą kolejność, ponieważ każdy krok zakłada, że poprzedni jest prawdziwy.

1. Popraw zakres profilu przed pierwszym urządzeniem

Profil dla wszystkich użytkowników żyje na maszynie i pojawia się w każdej sesji. Profil dla jednego użytkownika podąża za jednym kontem i przechowuje jego poświadczenia w kontekście tego konta. Wybierz jeden i trzymaj się go, ponieważ maszyna z oboma pokazuje dwa wpisy o tej samej nazwie, a użytkownicy łączą się z tym, który pojawi się pierwszy. Zmiana zakresu później oznacza najpierw usunięcie starego profilu, a nie edycję go na miejscu.

Profile dla wszystkich użytkowników pasują do urządzeń współdzielonych i kiosków, gdzie nikt nie loguje się kontem osobistym. Są błędnym ustawieniem domyślnym, gdy certyfikat jest wydawany na osobę, ponieważ profil obejmujący całą maszynę nie może przedstawić poświadczeń należących do kogoś innego. Zapisz wybór w rejestrze wdrożenia, zanim powstanie drugi laptop.

2. Przekazuj przełączniki jako przełączniki

Add-VpnConnection przyjmuje parametry przełącznikowe, które albo są obecne, albo ich nie ma. Przekazanie im $true wywołuje błąd EapConfigXmlStream, dlatego tak wiele wątków na ten temat kończy się badaniem łańcuchów certyfikatów, które nigdy nie były problemem.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Adres bramy powyżej jest przykładowy; weź prawdziwy z pobranego pakietu i trzymaj go w cudzysłowie. -AllUserConnection wymaga podniesionej sesji, a tworzony profil obejmuje całą maszynę, nawet jeśli polecenie uruchomiono jako administrator. Przeczytaj zestaw parametrów za pomocą Get-Help Add-VpnConnection -Parameter *, zanim dodasz więcej przełączników.

3. Dodaj trasę, której adapter nie dodaje

Adapter punkt do lokacji instaluje trasę dla puli adresów klienta i nic więcej.

Prefiks sieci wirtualnej spoza tej puli pozostaje nieosiągalny, podczas gdy tunel nadal zgłasza Connected, i to jest najbardziej myląca awaria w tym przepływie pracy. Dodaj trasę jawnie po udanym połączeniu i skieruj ją na adres interfejsu otrzymany przez adapter, a nie na publiczną nazwę bramy. Ten adres pochodzi z ipconfig po połączeniu i zmienia się między sesjami.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Usuń trasę przy rozłączaniu, aby nieaktualny następny przeskok nie mógł później skierować ruchu w czarną dziurę. Traktuj polecenie jako udokumentowane lokalne odstępstwo: jeśli przyszłe wydanie klienta samo doda trasę, twoja linia stanie się duplikatem konkurującym z własnym następnym przeskokiem pakietu.

4. Zweryfikuj jako zwykły użytkownik

Sesja administratora ukrywa błędy zakresu, ponieważ podniesienie uprawnień czasami dostarcza poświadczenia, których prawdziwy użytkownik by nie miał.

Zaloguj się jako użytkownik bez uprawnień administratora, połącz przez profil i przetestuj jedną usługę prywatną zamiast publicznego internetu. Potwierdź, że profil pojawia się w Get-VpnConnection -AllUserConnection, że stan osiąga Connected i że dodana trasa wskazuje bieżący adres adaptera. Następnie uśpij maszynę, obudź ją i ponownie porównaj ipconfig.

5. Usuń nieudane wdrożenie czysto

Remove-VpnConnection z -AllUserConnection i -Force usuwa profil obejmujący całą maszynę. Force ma znaczenie, ponieważ połączony profil w przeciwnym razie odmawia usunięcia, a na wpół usunięty profil jest trudniejszy do zdiagnozowania niż czysta reinstalacja.

Zachowaj nazwę profilu, adres bramy i dodane trasy w notatkach wdrożeniowych. Te trzy wartości są tym, czego potrzebuje rozmowa z pomocą techniczną, zanim ktoś otworzy zgłoszenie, i one też są potrzebne kolejnemu skryptowi, gdy zmieni się adres bramy. Dodaj wersję pakietu klienta do tej samej notatki, ponieważ zachowanie trasy należy do tego pakietu, a nie do Windows.