Kujenga VPN ya IKEv2 katika PowerShell kwa cheti cha mashine

Windows huja na mteja wa IKEv2 ambao PowerShell huudhibiti kuanzia mwanzo hadi mwisho, kwa hivyo handaki inayofanya kazi haihitaji GUI wala programu ya wahusika wengine. Karibu kila kushindwa hutoka katika sehemu tatu: cheti kiliishia wapi, viambishi vya njia viliandikwa vipi na njia ya EAP iliyochaguliwa inatarajia nini. Shughulikia kwa mpangilio huo, kwa sababu kila kimoja kinaweza kukaguliwa kabla kingine hakijaanza na hitilafu ya baadaye itaficha ya awali.

Handaki za cheti cha mashine zipo ili zianze kabla ya mtu yeyote kuingia, ndiyo sababu utambulisho kwa kawaida unapaswa kuishi katika hifadhi ya kompyuta badala ya ya mtumiaji.

Kwanza cheti, kisha handaki

Uingizaji mbili ni muhimu. Utambulisho wa mteja unaenda kwenye Cert:\LocalMachine\My kupitia Import-PfxCertificate, na CA inayotoa unaenda kwenye Cert:\LocalMachine\Root kupitia Import-Certificate. Cheti cha jani peke yake hakithibitishi mnyororo wowote, kwa hivyo kuruka uingizaji wa pili kunaacha uthibitishaji bila msingi. Zaidi ya uwepo, ufunguo wa faragha lazima uambatishwe na akaunti ya kompyuta lazima iruhusiwe kuusoma. Get-ChildItem Cert:\LocalMachine\My huorodhesha kilichofika; linganisha alama za vidole badala ya vitu, kwa sababu vitu vinavyokaribiana sana ni vya kawaida.

Kagua matumizi yaliyopanuliwa ya ufunguo kabla ya kupeleka. Uthibitishaji wa mteja ndiyo sharti la kawaida kwa utambulisho wa mashine wa IKEv2, na upande wa pili lazima uamini CA iliyoisaini. Utambulisho ulio katika hifadhi ya mtumiaji haupo kwa muunganisho katika muktadha wa kompyuta.

Unda wasifu na njia zake

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection huandika wasifu. Swichi ya -AllUserConnection huuchapisha katika kitabu cha simu cha kimataifa, kinafaa kwa sanduku linaloshirikiwa au linalosimamiwa na huduma; iachie kwa mtumiaji mmoja. Anwani yoyote unayopitisha lazima ilingane na jina la DNS katika cheti cha seva, vinginevyo kushindwa huonekana baada ya handaki kuwa juu tayari. Kisha viambishi huongezwa kimoja kimoja kwa Add-VpnConnectionRoute, na vile tu ambavyo muundo unahitaji kwa kweli.

IPv6 ina upekee: Windows hukataa ::/0 kama njia ya VPN, kwa hivyo ::/1 na 8000::/1 pamoja hufunika nafasi ile ile ya anwani. Uelekezaji wa kiambishi pia hautoi chochote kwenye firewall ya mbali, kwa hivyo orodha ya viambishi na sera ya firewall hubaki kuwa hati tofauti.

Vitambulisho ni vya njia ya uthibitishaji

Wasifu wa cheti cha mashine hauhitaji siri yoyote ya mtumiaji, ilhali wasifu wa EAP-MSCHAPv2 unahitaji. Katika kisa cha pili moduli ya VPNCredentialsHelper hutoa Set-VpnConnectionUsernamePassword, na inataka maandishi ya kawaida: $cred.Password ni SecureString, kwa hivyo ifungue kwanza kwa GetNetworkCredential().Password. Sakinisha moduli popote amri inapoendeshwa, sio tu kwenye kituo cha kazi ilipoandikwa. EAP-TLS au njia maalum haitumii cmdlet hii kabisa; badala yake inachukua XML ya usanidi wa EAP.

rasdial "Office IKEv2" huinua muunganisho kutoka kwa shell, ambayo ndiyo njia ya haraka zaidi ya kuona matokeo mbele badala ya kwenye kumbukumbu ya matukio.

Kile ambacho handaki iliyounganishwa haithibitishi

Hali ya kuunganishwa inashughulikia mabadilishano ya IKE na hatua ya uthibitishaji, na hakuna zaidi. Tabia ya DNS, njia kuelekea mwenyeji wa faragha na firewall ya mbali zote bado hazijathibitishwa. Fanya kazi kuelekea nje: adapta ya handaki, kisha utafutaji wa njia kwa anwani ya faragha, kisha huduma moja unayoruhusiwa kutumia. Uchunguzi wa kwanza unaoshindwa huonyesha tabaka la kuchunguza.

Unapobadilisha wasifu, futa ule wa awali kwa Remove-VpnConnection -Name "Office IKEv2" -Force kabla ya kuunda upya; vinginevyo mipangilio na njia za zamani hubaki baada ya uhariri. Ikiwa bado haiunganishi, linganisha alama ya kidole iliyorekodiwa kwenye wasifu na ile iliyopo kwenye hifadhi, kwa sababu Windows inaweza kushikilia rejeleo la utambulisho ambao umebadilishwa katikati chini ya kitu kisichobadilika.

Weka alama ya kidole, njia ya EAP na orodha ya njia kando ya wasifu. Kwa pamoja hueleza mengi ya yale yanayokwenda vibaya baadaye.