Напишите скрипту Azure P2S VPN профила за сваког Windows корисника

Add-VpnConnection подиже грешку EapConfigXmlStream када прекидачи добију булове вредности. Исправите обухват и руту која недостаје пре распоређивања на флоту.

Ручна подела Azure пакета од тачке до локације ради на пет преносних рачунара и распада се на педесет. Скриптована путања има две замке, а свака кошта по једно поподне: грешку у параметру која личи на отказ сертификата и руту коју веза никада не инсталира, чак и када је све остало исправно. Ниједну не решава поновно преузимање клијентског пакета. Прођите провере испод редом и зауставите се на првој која падне.

Редослед држим фиксно јер сваки корак претпоставља да је претходни тачан.

1. Исправите обухват профила пре првог уређаја

Профил за све кориснике живи на машини и појављује се у свакој сесији. Профил по кориснику прати један налог и чува његове акредитиве у контексту тог налога. Изаберите један и останите при њему, јер машина са оба приказује два уноса са истим именом, а корисници се повезују на онај који се појави први. Промена обухвата касније значи прво уклонити стари профил уместо уређивања на лицу места.

Профили за све кориснике одговарају дељеним уређајима и киосцима где се нико не пријављује личним налогом. Они су погрешно подразумевано подешавање када се сертификат издаје по особи, будући да профил на нивоу машине не може представити акредитиве које припадају некоме другом. Запишите избор у записник о распоређивању пре него што постоји други преносни рачунар.

2. Предајте прекидаче као прекидаче

Add-VpnConnection прима параметре прекидача који или постоје или не постоје. Предаја $true на њих подиже грешку EapConfigXmlStream, зато толико расправа о томе заврши прегледом ланаца сертификата који никада нису били проблем.

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

Адреса приступника изнад је илустративна; узмите праву из преузетог пакета и држите је под наводницима. -AllUserConnection захтева подигнуту сесију, а профил који ствара има обухват машине чак и када сте наредбу извршили као администратор. Прочитајте скуп параметара помоћу Get-Help Add-VpnConnection -Parameter * пре него што додате још прекидача.

3. Додајте руту коју адаптер не додаје

Адаптер од тачке до локације инсталира руту за пул адреса клијента и ништа више.

Префикс виртуелне мреже изван тог пула остаје недоступан док тунел још пријављује Connected, а то је најзбуњујући отказ у овом току рада. Додајте руту изричито након што веза успе и усмерите је на адресу интерфејса коју је адаптер добио, а не на јавно име приступника. Та адреса долази из ipconfig након повезивања и мења се између сесија.

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

Избришите руту при одспајању како застарели следећи скок не би касније претворио саобраћај у црну рупу. Третирајте наредбу као документовано локално одступање: ако будуће издање клијента само дода руту, ваш ред постаје дупликат који се такмичи са сопственим следећим скоком пакета.

4. Проверите као стандардни корисник

Администраторска сесија скрива грешке обухвата, јер повишење понекад пружа акредитиве које прави корисник не би имао.

Пријавите се као неадминистратор, повежите се кроз профил и испробајте једну приватну услугу уместо јавног интернета. Потврдите да се профил појављује у Get-VpnConnection -AllUserConnection, да стање достигне Connected и да додата рута показује на тренутну адресу адаптера. Затим успавајте машину, пробудите је и поново упоредите ipconfig.

5. Уклоните лоше распоређивање чисто

Remove-VpnConnection са -AllUserConnection и -Force брише профил на нивоу машине. Force је важан јер повезани профил иначе одбија уклањање, а пола уклоњен профил теже је дијагностиковати од чисте поновне инсталације.

Држите име профила, адресу приступника и додате руте у белешкама о распоређивању. Те три вредности су оно што позив корисничкој подршци треба пре него што било ко отвори тикет, а такође су оно што следећа скрипта треба када се адреса приступника промени. Додајте верзију клијентског пакета у исту белешку, јер понашање руте припада том пакету, а не Windows-у.

Повезани чланци