Vzpostavitev VPN IKEv2 v PowerShellu s potrdilom računalnika

Windows prinaša odjemalca IKEv2, ki ga PowerShell upravlja od začetka do konca, zato delujoč tunel ne potrebuje grafičnega vmesnika niti programske opreme tretjih oseb. Skoraj vsaka napaka prihaja s treh mest: kam je pristalo potrdilo, kako so bile zapisane predpone poti in kaj pričakuje izbrana metoda EAP. Z njimi se ukvarjajte v tem vrstnem redu, ker je vsako mogoče preveriti, preden se začne naslednje, poznejša napaka pa bo prikrila prejšnjo.

Tuneli s potrdilom računalnika obstajajo zato, da se zaženejo, preden se kdor koli prijavi, zato mora identiteta običajno živeti v shrambi računalnika in ne uporabnika.

Najprej potrdilo, nato tunel

Pomembna sta dva uvoza. Identiteta odjemalca pride v Cert:\LocalMachine\My prek Import-PfxCertificate, izdajatelj CA pa v Cert:\LocalMachine\Root prek Import-Certificate. Samo listno potrdilo ne dokazuje nobene verige, zato izpustitev drugega uvoza pusti preverjanje brez podlage. Poleg prisotnosti mora biti zasebni ključ priložen, račun računalnika pa ga mora imeti pravico brati. Get-ChildItem Cert:\LocalMachine\My navaja, kaj je prispelo; primerjajte odtise in ne subjektov, ker so skoraj enaki subjekti pogosti.

Pred uvajanjem preverite razširjeno uporabo ključa. Preverjanje pristnosti odjemalca je običajna zahteva za identiteto računalnika IKEv2, druga stran pa mora zaupati CA, ki jo je podpisal. Identiteta v uporabnikovi shrambi za povezavo v kontekstu računalnika ne obstaja.

Ustvarite profil in njegove poti

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection zapiše profil. Stikalo -AllUserConnection ga objavi v globalnem telefonskem imeniku, kar ustreza deljenemu ali storitveno upravljanemu računalniku; za enega uporabnika ga izpustite. Ne glede na naslov, ki ga posredujete, se mora ujemati z imenom DNS v potrdilu strežnika, sicer se napaka pojavi šele potem, ko je tunel že dvignjen. Nato se predpone dodajajo ena za drugo s Add-VpnConnectionRoute, in samo tiste, ki jih zasnova resnično potrebuje.

IPv6 ima posebnost: Windows zavrne ::/0 kot pot VPN, zato ::/1 in 8000::/1 skupaj pokrivata isti naslovni prostor. Usmerjanje predpone tudi na oddaljenem požarnem zidu nič ne dovoli, zato seznam predpon in pravila požarnega zidu ostaneta ločena dokumenta.

Poverilnice pripadajo metodi preverjanja pristnosti

Profil s potrdilom računalnika ne potrebuje nobene uporabniške skrivnosti, profil EAP-MSCHAPv2 pa jo. V drugem primeru modul VPNCredentialsHelper ponuja Set-VpnConnectionUsernamePassword in želi običajno besedilo: $cred.Password je SecureString, zato ga najprej razpakirajte s GetNetworkCredential().Password. Modul namestite povsod, kjer se ukaz izvaja, ne le na delovni postaji, kjer je bil napisan. EAP-TLS ali metoda po meri tega cmdleta sploh ne uporabljata; namesto tega sprejmeta XML konfiguracije EAP.

rasdial "Office IKEv2" dvigne povezavo iz lupine, kar je najhitrejši način, da rezultat vidite v ospredju in ne v dnevniku dogodkov.

Česa povezan tunel ne dokaže

Stanje povezano zajema izmenjavo IKE in korak preverjanja pristnosti in nič več. Vedenje DNS, pot do zasebnega gostitelja in oddaljeni požarni zid še vedno niso dokazani. Delajte navzven: vmesnik tunela, nato iskanje poti za zasebni naslov, nato ena storitev, do katere imate pravico. Prvo opažanje, ki spodleti, označi plast za preiskavo.

Ko spremenite profil, izbrišite prejšnjega s Remove-VpnConnection -Name "Office IKEv2" -Force, preden ga znova ustvarite; sicer po urejanju ostanejo zastarele nastavitve in poti. Če se še vedno ne poveže, primerjajte odtis, zapisan v profilu, s tistim v shrambi, ker lahko Windows hrani sklic na identiteto, ki je bila medtem zamenjana pod nespremenjenim subjektom.

Odtis, metodo EAP in seznam poti imejte ob profilu. Skupaj pojasnijo večino tega, kar gre pozneje narobe.