Ndërtimi i një VPN IKEv2 në PowerShell me një certifikatë makine

Windows sjell një klient IKEv2 që PowerShell e kontrollon nga fillimi në fund, kështu që një tunel funksional nuk ka nevojë për GUI as për softuer të palëve të treta. Pothuajse çdo dështim vjen nga tre vende: ku përfundoi certifikata, si u shkruan prefikset e rrugëve dhe çfarë pret metoda EAP e zgjedhur. Merreni me to në këtë rend, sepse secila është e verifikueshme përpara se të fillojë tjetra dhe një gabim më i vonë do të maskojë një më të hershëm.

Tunelet me certifikatë makine ekzistojnë për të nisur përpara se dikush të identifikohet, prandaj identiteti normalisht duhet të jetë në depon e kompjuterit dhe jo në atë të një përdoruesi.

Fillimisht certifikata, pastaj tuneli

Dy importime kanë rëndësi. Identiteti i klientit shkon në Cert:\LocalMachine\My përmes Import-PfxCertificate, dhe CA emetuese shkon në Cert:\LocalMachine\Root përmes Import-Certificate. Një certifikatë gjethe e vetme nuk provon asnjë zinxhir, kështu që anashkalimi i importimit të dytë e lë verifikimin pa bazë. Përveç pranisë, çelësi privat duhet të jetë i bashkëngjitur dhe llogaria e kompjuterit duhet të lejohet ta lexojë. Get-ChildItem Cert:\LocalMachine\My rendit çfarë mbërriti; krahasoni shenjat e gishtave dhe jo subjektet, sepse subjektet pothuajse identike janë të zakonshme.

Kontrolloni përdorimin e zgjeruar të çelësit përpara se të vendosni. Vërtetimi i klientit është kërkesa e zakonshme për një identitet makine IKEv2, dhe pala tjetër duhet t'i besojë CA-së që e nënshkroi. Një identitet në depon e një përdoruesi nuk ekziston për një lidhje në kontekst kompjuteri.

Krijoni profilin dhe rrugët e tij

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection shkruan profilin. Ndërprerësi -AllUserConnection e publikon në librin global të telefonit, i përshtatshëm për një makinë të përbashkët ose të administruar si shërbim; hiqeni për një përdorues të vetëm. Çdo adresë që kaloni duhet të përputhet me emrin DNS në certifikatën e serverit, përndryshe dështimi shfaqet pasi tuneli është ngritur tashmë. Më pas prefikset shtohen një nga një me Add-VpnConnectionRoute, dhe vetëm ato që dizajni ka vërtet nevojë.

IPv6 ka një veçanti: Windows refuzon ::/0 si rrugë VPN, prandaj ::/1 dhe 8000::/1 së bashku mbulojnë të njëjtin hapësirë adresash. Rrugëzimi i një prefiksi nuk jep asgjë as në firewall-in e largët, prandaj lista e prefikseve dhe politika e firewall-it mbeten dokumente të veçanta.

Kredencialet i përkasin metodës së vërtetimit

Një profil me certifikatë makine nuk ka nevojë fare për një sekret përdoruesi, ndërsa një profil EAP-MSCHAPv2 ka. Në rastin e dytë moduli VPNCredentialsHelper ofron Set-VpnConnectionUsernamePassword, dhe ai dëshiron tekst të thjeshtë: $cred.Password është SecureString, prandaj shpaketoje fillimisht me GetNetworkCredential().Password. Instaloni modulin kudo ku ekzekutohet komanda, jo vetëm në stacionin ku u hartua. EAP-TLS ose një metodë e personalizuar nuk e përdorin fare këtë cmdlet; në vend të kësaj marrin një XML konfigurimi EAP.

rasdial "Office IKEv2" e ngre lidhjen nga një shell, dhe kjo është mënyra më e shpejtë për ta parë rezultatin në plan të parë dhe jo në një regjistër ngjarjesh.

Çfarë nuk provon një tunel i lidhur

Statusi i lidhur mbulon shkëmbimin IKE dhe hapin e vërtetimit, dhe asgjë përtej tyre. Sjellja e DNS-së, rruga drejt një hosti privat dhe firewall-i i largët janë të gjitha ende të paprovuara. Punoni nga jashtë: përshtatësi i tunelit, më pas një kërkim rruge për një adresë private, më pas një shërbim që ju lejohet ta përdorni. Vëzhgimi i parë që dështon tregon shtresën për t'u hetuar.

Kur ndryshoni një profil, fshini atë të mëparshëm me Remove-VpnConnection -Name "Office IKEv2" -Force përpara se ta rikrijoni; përndryshe cilësimet dhe rrugët e vjetruara vazhdojnë përmes redaktimit. Nëse ende nuk lidhet, krahasoni shenjën e gishtit të regjistruar në profil me atë të pranishme në depo, sepse Windows mund të mbajë një referencë për një identitet që ndërkohë është zëvendësuar nën një subjekt të pandryshuar.

Mbajeni shenjën e gishtit, metodën EAP dhe listën e rrugëve pranë profilit. Së bashku shpjegojnë pjesën më të madhe të asaj që shkon keq më vonë.