Scriptați un profil VPN P2S Azure pentru fiecare utilizator Windows

Distribuirea manuală a unui pachet Azure punct-la-site funcționează pentru cinci laptopuri și se destramă la cincizeci. Calea cu script are două capcane care costă fiecare o după-amiază: o eroare de parametru care arată ca o defecțiune de certificat, și o rută pe care conexiunea nu o instalează niciodată, chiar când tot restul este corect. Niciuna nu se rezolvă prin descărcarea din nou a pachetului client. Faceți verificările de mai jos în ordine și opriți-vă la prima care eșuează.

Păstrez ordinea fixă pentru că fiecare pas presupune că precedentul este corect.

1. Corectați domeniul profilului înainte de primul dispozitiv

Un profil pentru toți utilizatorii trăiește pe mașină și apare în fiecare sesiune. Un profil per utilizator urmărește un singur cont și păstrează acreditările acestuia în contextul acelui cont. Alegeți unul și rămâneți cu el, pentru că o mașină care le are pe amândouă afișează două intrări cu același nume, iar utilizatorii se conectează la cea care apare prima. Schimbarea domeniului mai târziu înseamnă a elimina mai întâi profilul vechi, nu a-l edita la fața locului.

Profilurile pentru toți utilizatorii se potrivesc dispozitivelor partajate și chioșcurilor unde nimeni nu se autentifică cu un cont personal. Sunt valoarea implicită greșită când certificatul este emis pe persoană, deoarece un profil la nivel de mașină nu poate prezenta acreditări care aparțin altcuiva. Scrieți alegerea în registrul de implementare înainte de a exista al doilea laptop.

2. Transmiteți comutatoarele ca comutatoare

Add-VpnConnection acceptă parametri de comutator care fie sunt prezenți, fie lipsesc. Transmiterea $true către ei ridică o eroare EapConfigXmlStream, motiv pentru care atât de multe discuții pe acest subiect se termină cu inspectarea unor lanțuri de certificate care nu au fost niciodată problema.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Adresa gateway-ului de mai sus este ilustrativă; luați-o pe cea reală din pachetul descărcat și păstrați-o între ghilimele. -AllUserConnection necesită o sesiune ridicată, iar profilul creat este la nivel de mașină chiar dacă ați rulat comanda ca administrator. Citiți setul de parametri cu Get-Help Add-VpnConnection -Parameter * înainte de a adăuga mai multe comutatoare.

3. Adăugați ruta pe care adaptorul nu o adaugă

Adaptorul punct-la-site instalează o rută pentru pool-ul de adrese al clientului și nimic altceva.

Un prefix de rețea virtuală din afara acelui pool rămâne inaccesibil în timp ce tunelul raportează în continuare Connected, iar aceasta este cea mai confuză defecțiune din acest flux de lucru. Adăugați ruta explicit după ce conexiunea reușește și îndreptați-o spre adresa de interfață primită de adaptor, nu spre numele public al gateway-ului. Acea adresă vine din ipconfig după conectare și se schimbă între sesiuni.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Ștergeți ruta la deconectare pentru ca un salt următor învechit să nu poată trimite mai târziu traficul într-o gaură neagră. Tratați comanda ca o abatere locală documentată: dacă o versiune viitoare a clientului adaugă singură ruta, linia dumneavoastră devine un duplicat care concurează cu propriul salt următor al pachetului.

4. Verificați ca utilizator standard

O sesiune de administrator ascunde erorile de domeniu, pentru că ridicarea oferă uneori acreditări pe care utilizatorul real nu le-ar avea.

Conectați-vă ca neadministrator, conectați-vă prin profil și testați un serviciu privat în locul internetului public. Confirmați că profilul apare în Get-VpnConnection -AllUserConnection, că starea ajunge la Connected și că ruta adăugată indică adresa actuală a adaptorului. Apoi suspendați mașina, treziți-o și comparați din nou ipconfig.

5. Eliminați curat o implementare nereușită

Remove-VpnConnection cu -AllUserConnection și -Force șterge profilul la nivel de mașină. Force contează pentru că un profil conectat refuză altfel eliminarea, iar un profil pe jumătate eliminat este mai greu de diagnosticat decât o reinstalare curată.

Păstrați numele profilului, adresa gateway-ului și rutele adăugate în notele de implementare. Aceste trei valori sunt ceea ce are nevoie un apel la suport înainte ca cineva să deschidă un tichet, și sunt tot ceea ce are nevoie următorul script când se schimbă adresa gateway-ului. Adăugați versiunea pachetului client în aceeași notă, pentru că comportamentul rutei aparține acelui pachet, nu Windows.