Vytvorte IKEv2 VPN v PowerShelli so strojovým certifikátom

Windows dodáva klienta IKEv2, ktorého PowerShell ovláda od začiatku do konca, takže funkčný tunel nepotrebuje GUI ani softvér tretích strán. Takmer každé zlyhanie pochádza z troch miest: kam certifikát doputoval, ako boli zapísané prefixy trás a čo očakáva zvolená metóda EAP. Riešte ich v tomto poradí, pretože každé sa dá overiť predtým, než začne ďalšie, a neskoršia chyba zakryje skoršiu.

Tunely so strojovým certifikátom existujú preto, aby sa spustili skôr, než sa ktokoľvek prihlási, a preto musí identita zvyčajne sídliť v úložisku počítača, nie používateľa.

Najprv certifikát, potom tunel

Dôležité sú dva importy. Identita klienta ide do Cert:\LocalMachine\My cez Import-PfxCertificate a vydávajúca CA ide do Cert:\LocalMachine\Root cez Import-Certificate. Samotný koncový certifikát nepreukazuje žiadnu reťaz, takže vynechanie druhého importu nechá overenie bez podkladu. Okrem prítomnosti musí byť pripojený súkromný kľúč a účet počítača ho musí smieť čítať. Get-ChildItem Cert:\LocalMachine\My vypíše, čo dorazilo; porovnávajte odtlačky, nie subjekty, pretože takmer zhodné subjekty sú bežné.

Pred nasadením skontrolujte rozšírené použitie kľúča. Overenie klienta je obvyklá požiadavka pre strojovú identitu IKEv2 a druhá strana musí dôverovať CA, ktorá ju podpísala. Identita v používateľskom úložisku pre pripojenie v kontexte počítača neexistuje.

Vytvorte profil a jeho trasy

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection zapíše profil. Prepínač -AllUserConnection ho zverejní v globálnom telefónnom zozname, čo sa hodí pre zdieľaný alebo službou spravovaný stroj; pre jedného používateľa ho vynechajte. Akúkoľvek adresu odovzdáte, musí zodpovedať názvu DNS v certifikáte servera, inak sa chyba objaví až po nadviazaní tunela. Prefixy sa potom pridávajú po jednom pomocou Add-VpnConnectionRoute, a to len tie, ktoré návrh naozaj potrebuje.

IPv6 má zvláštnosť: Windows odmieta ::/0 ako trasu VPN, takže ::/1 a 8000::/1 dohromady pokrývajú ten istý adresný priestor. Smerovanie prefixu tiež na vzdialenom firewalle nič nepovolí, takže zoznam prefixov a politika firewalla zostávajú oddelenými dokumentmi.

Prihlasovacie údaje patria k metóde overovania

Profil so strojovým certifikátom nepotrebuje žiadne používateľské tajomstvo, kým profil EAP-MSCHAPv2 áno. Pre druhý prípad modul VPNCredentialsHelper poskytuje Set-VpnConnectionUsernamePassword a chce obyčajný text: $cred.Password je SecureString, takže ho najprv rozbaľte pomocou GetNetworkCredential().Password. Modul inštalujte všade, kde sa príkaz spúšťa, nielen na stanici, kde vznikol. EAP-TLS alebo vlastná metóda tento cmdlet vôbec nepoužívajú; namiesto toho preberajú konfiguračné XML pre EAP.

rasdial "Office IKEv2" nadviaže spojenie z shellu, čo je najrýchlejší spôsob, ako výsledok vidieť v popredí, a nie v protokole udalostí.

Čo pripojený tunel nepreukazuje

Stav pripojenia pokrýva výmenu IKE a krok overenia a nič viac. Správanie DNS, cesta k súkromnému hostiteľovi aj vzdialený firewall sú stále nepreukázané. Postupujte smerom von: adaptér tunela, potom hľadanie trasy pre súkromnú adresu, potom jedna služba, ktorú smiete použiť. Prvé pozorovanie, ktoré zlyhá, určí vrstvu na vyšetrenie.

Keď meníte profil, zmažte predchádzajúci pomocou Remove-VpnConnection -Name "Office IKEv2" -Force, než ho znova vytvoríte; inak po úprave zostanú zastarané nastavenia aj trasy. Ak sa stále nepripája, porovnajte odtlačok zaznamenaný v profile s tým v úložisku, pretože Windows môže držať odkaz na identitu, ktorá bola medzitým nahradená pod nezmeneným subjektom.

Majte odtlačok, metódu EAP a zoznam trás vedľa profilu. Spolu vysvetľujú väčšinu toho, čo sa neskôr pokazí.