Skriptirajte Azure P2S VPN profil za svakog Windows korisnika

Ručno deljenje Azure point-to-site paketa radi na pet prenosnika, a raspada se na pedeset. Skriptovana putanja ima dve zamke, a svaka košta po jedno popodne: grešku u parametru koja liči na otkaz certifikata i rutu koju veza nikada ne instalira, čak i kada je sve ostalo ispravno. Nijednu ne rešava ponovno preuzimanje klijentskog paketa. Prođite provere ispod redom i zaustavite se na prvoj koja padne.

Redosled držim fiksno jer svaki korak pretpostavlja da je prethodni tačan.

1. Ispravite obim profila pre prvog uređaja

Profil za sve korisnike živi na mašini i pojavljuje se u svakoj sesiji. Profil po korisniku prati jedan nalog i čuva njegove akreditive u kontekstu tog naloga. Izaberite jedan i ostanite pri njemu, jer mašina sa oba prikazuje dva unosa sa istim imenom, a korisnici se povezuju na onaj koji se pojavi prvi. Promena obima kasnije znači prvo ukloniti stari profil umesto uređivanja na licu mesta.

Profili za sve korisnike odgovaraju deljenim uređajima i kioscima gde se niko ne prijavljuje ličnim nalogom. Oni su pogrešno podrazumevano podešavanje kada se certifikat izdaje po osobi, budući da profil na nivou mašine ne može predstaviti akreditive koje pripadaju nekome drugom. Zapišite izbor u zapisnik o uvođenju pre nego što postoji drugi prenosnik.

2. Predajte prekidače kao prekidače

Add-VpnConnection prima parametre prekidača koji ili postoje ili ne postoje. Predaja $true na njih podiže grešku EapConfigXmlStream, zato toliko rasprava o tome završi pregledom lanaca certifikata koji nikada nisu bili problem.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Adresa pristupnika iznad je ilustrativna; uzmite pravu iz preuzetog paketa i držite je pod navodnicima. -AllUserConnection zahteva povišenu sesiju, a profil koji stvara ima obim mašine čak i kada ste naredbu izvršili kao administrator. Pročitajte skup parametara pomoću Get-Help Add-VpnConnection -Parameter * pre nego što dodate još prekidača.

3. Dodajte rutu koju adapter ne dodaje

Point-to-site adapter instalira rutu za pul adresa klijenta i ništa više.

Prefiks virtuelne mreže izvan tog pula ostaje nedostupan dok tunel još prijavljuje Connected, a to je najzbunjujući otkaz u ovom toku rada. Dodajte rutu izričito nakon što veza uspe i usmerite je na adresu interfejsa koju je adapter dobio, a ne na javno ime pristupnika. Ta adresa dolazi iz ipconfiga nakon povezivanja i menja se između sesija.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Izbrišite rutu pri odspajanju kako zastareli sledeći skok ne bi kasnije pretvorio saobraćaj u crnu rupu. Tretirajte naredbu kao dokumentovano lokalno odstupanje: ako buduće izdanje klijenta samo doda rutu, vaš red postaje duplikat koji se takmiči sa sopstvenim sledećim skokom paketa.

4. Proverite kao standardni korisnik

Administratorska sesija skriva greške obima, jer povišenje ponekad pruža akreditive koje pravi korisnik ne bi imao.

Prijavite se kao neadministrator, povežite se kroz profil i isprobajte jednu privatnu uslugu umesto javnog interneta. Potvrdite da se profil pojavljuje u Get-VpnConnection -AllUserConnection, da stanje dosegne Connected i da dodata ruta pokazuje na trenutnu adresu adaptera. Zatim uspavajte mašinu, probudite je i ponovo uporedite ipconfig.

5. Uklonite loše uvođenje čisto

Remove-VpnConnection sa -AllUserConnection i -Force briše profil na nivou mašine. Force je važan jer povezani profil inače odbija uklanjanje, a pola uklonjen profil teže je dijagnostikovati od čiste ponovne instalacije.

Držite ime profila, adresu pristupnika i dodate rute u beleškama o uvođenju. Te tri vrednosti su ono što poziv korisničkoj podršci treba pre nego što bilo ko otvori tiket, a takođe su ono što sledeća skripta treba kada se adresa pristupnika promeni. Dodajte verziju klijentskog paketa u istu belešku, jer ponašanje rute pripada tom paketu, a ne Windowsu.