په PowerShell کې د ماشین سند سره IKEv2 VPN جوړول

Windows د IKEv2 یو کلاینټ وړاندې کوي چې PowerShell یې له سره تر پایه کنټرولوي، نو کارکوونکي تونل ته نه GUI ته اړتیا ده او نه د درېیم اړخ سافټویر ته. نږدې هره پاتې کېدنه له دریو ځایونو راځي: سند چېرې ورسېد، د لارو مخښلې څنګه ولیکل شوې او ټاکل شوې EAP طریقه څه تمه لري. له دوی سره په همدې ترتیب کار وکړئ، ځکه هر یو د بل له پیل مخکې کتل کېدای شي او وروسته تېروتنه به پخوانۍ تېروتنه پټه کړي.

د ماشین سند تونلونه د دې لپاره دي چې له هر چا د ننوتلو مخکې پیل شي، نو هویت باید معمولاً د کاروونکي پر ځای د کمپیوټر په زېرمه کې وي.

لومړی سند، بیا تونل

دوه واردات مهم دي. د کلاینټ هویت Import-PfxCertificate له لارې Cert:\LocalMachine\My ته ځي او صادرونکی CA Import-Certificate له لارې Cert:\LocalMachine\Root ته ځي. یوازې یوه پاڼه هیڅ زنځیر نه ثابتوي، نو دویم واردات پرېښودل ګوته پلټنې ته بنسټ نه پرېږدي. له شتون پرته، شخصي کیلي باید نښلول شوې وي او د کمپیوټر حساب ته د هغې لوستلو اجازه وي. Get-ChildItem Cert:\LocalMachine\My ښيي چې څه ورسېدل؛ د موضوعاتو پر ځای د ګوتې نښې پرتله کړئ، ځکه نږدې ورته موضوعات عام دي.

له ځای پرځای کولو مخکې پراخه کیلي کارونه وګورئ. د IKEv2 ماشین هویت لپاره د کلاینټ تصدیق معمول شرط دی او بل لوري باید هغه CA ته باور ولري چې لاسلیک یې کړی. په کاروونکي زېرمه کې هویت د کمپیوټر په شرایطو کې د اړیکې لپاره شتون نه لري.

پروفایل او د هغې لارې جوړې کړئ

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection پروفایل لیکي. -AllUserConnection سوئیچ هغه په نړیوال ټلیفون کتاب کې خپروي، چې د شریک یا د خدمت له خوا اداره شوي ماشین لپاره ښه دی؛ یو کاروونکي لپاره یې پرېږدئ. کوم پته چې ورکړئ، هغه باید د سرور په سند کې د DNS نوم سره سمه وي، که نه نو پاتې کېدنه وروسته له هغې ښکاري چې تونل مخکې پورته شوی. بیا مخښلې په Add-VpnConnectionRoute سره یو په یو زیاتېږي، او یوازې هغه چې ډیزاین واقعاً ورته اړتیا لري.

IPv6 یوه عجیبه ځانګړتیا لري: Windows ::/0 د VPN لارې په توګه نه مني، نو ::/1 او 8000::/1 یوځای هماغه پته فضا پوښي. د مخښلې لارښوونه په لرې firewall کې هم هیڅ نه ورکوي، نو د مخښلو لړلیک او د firewall تګلاره جلا اسناد پاتې کېږي.

اعتبارنامې د تصدیق طریقې پورې تړاو لري

د ماشین سند پروفایل هیڅ د کاروونکي راز ته اړتیا نه لري، خو EAP-MSCHAPv2 پروفایل ورته اړتیا لري. په دویم حالت کې VPNCredentialsHelper ماډل Set-VpnConnectionUsernamePassword وړاندې کوي او ساده متن غواړي: $cred.Password د SecureString دی، نو لومړی یې په GetNetworkCredential().Password باندې پرانیزئ. ماډل هر چېرې چې امر چلېږي نصب کړئ، نه یوازې په هغه کاري سټیشن کې چې لیکل شوی و. EAP-TLS یا ځانګړې طریقه دا cmdlet هیڅ نه کاروي؛ پرځای یې د EAP ترتیبول XML اخلي.

rasdial "Office IKEv2" اړیکه له شل څخه پورته کوي، او دا د پیلوګ لست پر ځای په مخکې نتیجې لیدلو ترټولو ژر لار ده.

یو نښلول شوی تونل څه نه ثابتوي

نښلول شوی حالت IKE تبادله او تصدیق پړاو پوښي، او له هغې زیات هیڅ نه. د DNS چلند، خصوصي هوسټ ته لار او لرې firewall ټول لا نه دي ثابت شوي. بهر ته کار وکړئ: د تونل اډاپټر، بیا خصوصي پتې لپاره د لارې پلټنه، بیا یوه خدمت چې تاسو ته اجازه ورته لرئ. لومړنی مشاهده چې ناکامېږي هغه طبقه ښيي چې باید وڅېړل شي.

کله چې پروفایل بدل کړئ، مخکې له بیا جوړولو یې پخوانی په Remove-VpnConnection -Name "Office IKEv2" -Force باندې ړنګ کړئ؛ که نه نو پخواني تنظیمات او لارې له سمون وروسته هم پاتې کېږي. که لا هم ونه نښلي، په پروفایل کې ثبت شوې ګوتې نښه له هغې سره پرتله کړئ چې په زېرمه کې ده، ځکه Windows کېدای شي د هغه هویت یادونه وساتي چې په همدې منځ کې د بدل شوي موضوع لاندې نوی شوی.

ګوتې نښه، EAP طریقه او د لارو لړلیک د پروفایل ترڅنګ وساتئ. یوځای هغوی ډېره برخه هغې تشریح کوي چې وروسته غلطېږي.