Izgradnja IKEv2 VPN-a u PowerShellu sa sertifikatom računara

Windows dolazi sa IKEv2 klijentom kojim PowerShell upravlja od početka do kraja, pa ispravan tunel ne treba ni GUI ni softver treće strane. Skoro svaki neuspeh dolazi sa tri mesta: gde je sertifikat završio, kako su zapisani prefiksi ruta i šta izabrana EAP metoda očekuje. Rešite ih tim redom, jer se svaki može proveriti pre nego što počne sledeći, a kasnija greška će prikriti raniju.

Tuneli sa sertifikatom računara postoje da bi se pokrenuli pre nego što se bilo ko prijavi, zato identitet obično mora živeti u skladištu računara, a ne korisnika.

Prvo sertifikat, pa tunel

Dva uvoza su važna. Identitet klijenta ide u Cert:\LocalMachine\My putem Import-PfxCertificate, a izdavalac CA ide u Cert:\LocalMachine\Root putem Import-Certificate. Sam lisni sertifikat ne dokazuje nikakav lanac, pa preskakanje drugog uvoza ostavlja proveru bez osnove. Osim prisustva, privatni ključ mora biti pridružen i računu računara mora biti dozvoljeno da ga čita. Get-ChildItem Cert:\LocalMachine\My navodi šta je stiglo; upoređujte otiske, a ne subjekte, jer su skoro identični subjekti česti.

Proverite proširenu namenu ključa pre primene. Autentifikacija klijenta je uobičajen uslov za IKEv2 identitet računara, a druga strana mora verovati CA-u koji ga je potpisao. Identitet u korisničkom skladištu ne postoji za vezu u kontekstu računara.

Napravite profil i njegove rute

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection zapisuje profil. Prekidač -AllUserConnection objavljuje ga u globalnom imeniku, što odgovara deljenom ili servisno vođenom računaru; izostavite ga za jednog korisnika. Koju god adresu prosledite, mora odgovarati DNS imenu u sertifikatu servera, inače se greška pojavljuje tek nakon što je tunel već podignut. Zatim se prefiksi dodaju jedan po jedan pomoću Add-VpnConnectionRoute, i to samo oni koji su dizajnu zaista potrebni.

IPv6 ima osobenost: Windows odbija ::/0 kao VPN rutu, pa ::/1 i 8000::/1 zajedno pokrivaju isti adresni prostor. Usmeravanje prefiksa takođe ne daje ništa na udaljenom firewallu, pa lista prefiksa i politika firewalla ostaju odvojeni dokumenti.

Akreditive pripadaju metodi autentifikacije

Profil sa sertifikatom računara uopšte ne treba korisničku tajnu, dok profil EAP-MSCHAPv2 treba. Za drugi slučaj modul VPNCredentialsHelper pruža Set-VpnConnectionUsernamePassword, i traži običan tekst: $cred.Password je SecureString, pa ga prvo raspakujte pomoću GetNetworkCredential().Password. Instalirajte modul gde god se naredba izvršava, ne samo na radnoj stanici na kojoj je sastavljena. EAP-TLS ili prilagođena metoda uopšte ne koriste ovaj cmdlet; umesto toga prihvataju EAP konfiguracioni XML.

rasdial "Office IKEv2" podiže vezu iz ljuske, što je najbrži način da rezultat vidite u prvom planu, a ne u dnevniku događaja.

Šta povezani tunel ne dokazuje

Status povezanosti pokriva IKE razmenu i korak autentifikacije i ništa više. Ponašanje DNS-a, put do privatnog hosta i udaljeni firewall još su nedokazani. Radite prema spolja: adapter tunela, zatim traženje rute za privatnu adresu, zatim jedna usluga koju smete koristiti. Prvo opažanje koje padne označava sloj koji treba istražiti.

Kada menjate profil, obrišite prethodni pomoću Remove-VpnConnection -Name "Office IKEv2" -Force pre nego što ga ponovo napravite; inače zastarela podešavanja i rute ostaju kroz izmenu. Ako se i dalje ne povezuje, uporedite otisak zapisan u profilu sa onim u skladištu, jer Windows može držati referencu na identitet koji je u međuvremenu zamenjen pod nepromenjenim subjektom.

Držite otisak, EAP metodu i listu ruta uz profil. Zajedno objašnjavaju većinu onoga što kasnije pođe po zlu.