Naskriptujte profil Azure P2S VPN pre každého používateľa Windows

Ručné rozdávanie balíka Azure point-to-site funguje na piatich notebookoch a pri päťdesiatich sa rozpadne. Skriptovaná cesta má dve pasce, z ktorých každá stojí jedno popoludnie: chyba parametra, ktorá vyzerá ako zlyhanie certifikátu, a trasa, ktorú pripojenie nikdy nenainštaluje, aj keď je všetko ostatné v poriadku. Ani jednu nevyrieši opätovné stiahnutie klientskeho balíka. Vykonajte kontroly nižšie v poradí a zastavte sa pri prvej, ktorá zlyhá.

Poradie držím pevne, pretože každý krok predpokladá, že predchádzajúci platí.

1. Opravte rozsah profilu pred prvým zariadením

Profil pre všetkých používateľov žije na stroji a objavuje sa v každej relácii. Profil pre jednotlivého používateľa sleduje jeden účet a uchováva jeho prihlasovacie údaje v kontexte tohto účtu. Vyberte jeden a zostaňte pri ňom, pretože stroj s oboma zobrazuje dve položky s rovnakým názvom a používatelia sa pripájajú k tej, ktorá sa objaví prvá. Zmena rozsahu neskôr znamená najprv odstrániť starý profil namiesto úpravy na mieste.

Profily pre všetkých používateľov sa hodia na zdieľané zariadenia a kiosky, kde sa nikto neprihlasuje osobným účtom. Sú nesprávnym predvoleným nastavením, keď sa certifikát vydáva na osobu, pretože profil v rozsahu stroja nemôže predložiť údaje, ktoré patria niekomu inému. Zapíšte voľbu do záznamu o nasadení, kým neexistuje druhý notebook.

2. Odovzdajte prepínače ako prepínače

Add-VpnConnection prijíma parametre prepínačov, ktoré buď sú, alebo nie sú. Odovzdanie $true im vyvolá chybu EapConfigXmlStream, a preto toľko vlákien o tomto končí prezeraním reťazcov certifikátov, ktoré nikdy neboli problémom.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Adresa brány vyššie je ilustratívna; vezmite tú skutočnú zo stiahnutého balíka a držte ju v úvodzovkách. -AllUserConnection vyžaduje zvýšenú reláciu a profil, ktorý vytvorí, má rozsah stroja, aj keď ste príkaz spustili ako správca. Prečítajte si množinu parametrov pomocou Get-Help Add-VpnConnection -Parameter *, skôr než pridáte ďalšie prepínače.

3. Pridajte trasu, ktorú adaptér nepridá

Adaptér point-to-site nainštaluje trasu pre fond klientskych adries a nič iné.

Predpona virtuálnej siete mimo tohto fondu zostáva nedostupná, zatiaľ čo tunel stále hlási Connected, a to je najviac mätúce zlyhanie v tomto postupe. Pridajte trasu výslovne po úspešnom pripojení a nasmerujte ju na adresu rozhrania, ktorú adaptér dostal, nie na verejný názov brány. Táto adresa pochádza z ipconfig po pripojení a medzi reláciami sa mení.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Pri odpojení trasu vymažte, aby starý ďalší skok nemohol neskôr poslať prevádzku do čiernej diery. Berte príkaz ako zdokumentovanú miestnu odchýlku: ak budúca verzia klienta trasu pridá sama, váš riadok sa stane duplikátom, ktorý súťaží s vlastným ďalším skokom balíka.

4. Overte ako štandardný používateľ

Relácia správcu skrýva chyby rozsahu, pretože zvýšenie oprávnení niekedy poskytne údaje, ktoré by skutočný používateľ nemal.

Prihláste sa ako neadministrátor, pripojte sa cez profil a otestujte jednu súkromnú službu namiesto verejného internetu. Potvrďte, že profil sa objavuje v Get-VpnConnection -AllUserConnection, že stav dosiahne Connected a že pridaná trasa ukazuje na aktuálnu adresu adaptéra. Potom stroj uspite, prebuďte a znova porovnajte ipconfig.

5. Odstráňte zlé nasadenie čisto

Remove-VpnConnection s -AllUserConnection a -Force vymaže profil v rozsahu stroja. Force je dôležitý, pretože pripojený profil inak odmieta odstránenie, a napoly odstránený profil sa diagnostikuje ťažšie ako čistá preinštalácia.

Názov profilu, adresu brány a pridané trasy držte v poznámkach k nasadeniu. Tieto tri hodnoty potrebuje volanie na podporu, kým niekto otvorí tiket, a tiež ich potrebuje ďalší skript, keď sa adresa brány zmení. Pridajte verziu klientskeho balíka do tej istej poznámky, pretože správanie trasy patrí tomu balíku, nie Windows.