PowerShell-இல் இயந்திரச் சான்றிதழுடன் IKEv2 VPN உருவாக்குதல்

PowerShell தொடக்கத்திலிருந்து இறுதிவரை கட்டுப்படுத்தும் IKEv2 வாடிக்கையாளரை Windows வழங்குகிறது, எனவே வேலை செய்யும் சுரங்கப்பாதைக்கு GUI அல்லது மூன்றாம் தரப்பு மென்பொருள் தேவையில்லை. ஏறக்குறைய ஒவ்வொரு தோல்வியும் மூன்று இடங்களிலிருந்து வருகிறது: சான்றிதழ் எங்கே முடிந்தது, வழி முன்னொட்டுகள் எப்படி எழுதப்பட்டன, மற்றும் தேர்ந்தெடுத்த EAP முறை என்ன எதிர்பார்க்கிறது. அவற்றை அதே வரிசையில் கையாளுங்கள், ஏனெனில் அடுத்தது தொடங்கும் முன் ஒவ்வொன்றையும் சரிபார்க்க முடியும், பின்னர் வரும் பிழை முந்தையதை மறைக்கும்.

யாரும் உள்நுழைவதற்கு முன் தொடங்குவதற்காகவே இயந்திரச் சான்றிதழ் சுரங்கப்பாதைகள் உள்ளன, எனவே அடையாளம் பொதுவாக பயனரின் சேமிப்பகத்தில் அல்ல, கணினியின் சேமிப்பகத்தில் இருக்க வேண்டும்.

முதலில் சான்றிதழ், பின்னர் சுரங்கப்பாதை

இரண்டு இறக்குமதிகள் முக்கியம். வாடிக்கையாளர் அடையாளம் Import-PfxCertificate வழியாக Cert:\LocalMachine\My-க்குச் செல்கிறது, வழங்கும் CA Import-Certificate வழியாக Cert:\LocalMachine\Root-க்குச் செல்கிறது. ஒரு இலைச் சான்றிதழ் மட்டும் எந்தச் சங்கிலியையும் நிரூபிக்காது, எனவே இரண்டாவது இறக்குமதியைத் தவிர்த்தால் சரிபார்ப்புக்கு ஆதாரம் இருக்காது. இருப்புக்கு மேலாக, தனிப்பட்ட விசை இணைக்கப்பட்டிருக்க வேண்டும், கணினிக் கணக்கிற்கு அதைப் படிக்க அனுமதி இருக்க வேண்டும். Get-ChildItem Cert:\LocalMachine\My என்ன வந்தது என்பதைப் பட்டியலிடுகிறது; பொருட்களை அல்ல, விரல் ரேகைகளை ஒப்பிடுங்கள், ஏனெனில் கிட்டத்தட்ட ஒரே மாதிரியான பொருட்கள் பொதுவானவை.

வரிசைப்படுத்தும் முன் நீட்டிக்கப்பட்ட விசைப் பயன்பாட்டைச் சரிபார்க்கவும். IKEv2 இயந்திர அடையாளத்திற்கு வாடிக்கையாளர் அங்கீகாரம் வழக்கமான தேவை, எதிர்ப்பக்கம் அதைக் கையொப்பமிட்ட CA-ஐ நம்ப வேண்டும். பயனர் சேமிப்பகத்தில் உள்ள அடையாளம் கணினி சூழலின் இணைப்புக்கு இல்லை.

சுயவிவரத்தையும் அதன் வழிகளையும் உருவாக்குங்கள்

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection சுயவிவரத்தை எழுதுகிறது. -AllUserConnection சுவிட்ச் அதை உலகளாவிய தொலைபேசி புத்தகத்தில் வெளியிடுகிறது, பகிரப்பட்ட அல்லது சேவையால் நிர்வகிக்கப்படும் இயந்திரத்திற்குப் பொருத்தம்; ஒரு பயனருக்கு அதை விட்டுவிடுங்கள். நீங்கள் அனுப்பும் எந்த முகவரியும் சேவையகத்தின் சான்றிதழில் உள்ள DNS பெயருடன் பொருந்த வேண்டும், இல்லையெனில் சுரங்கப்பாதை ஏற்கனவே எழுந்த பிறகு தோல்வி தோன்றும். பின்னர் முன்னொட்டுகள் Add-VpnConnectionRoute மூலம் ஒவ்வொன்றாகச் சேர்க்கப்படுகின்றன, வடிவமைப்பிற்கு உண்மையில் தேவையானவை மட்டுமே.

IPv6-க்கு ஒரு விசித்திரம் உண்டு: Windows ::/0-ஐ VPN வழியாக ஏற்க மறுக்கிறது, எனவே ::/1 மற்றும் 8000::/1 ஒன்றாக அதே முகவரி இடத்தை உள்ளடக்குகின்றன. முன்னொட்டை வழிப்படுத்துவதால் தொலை firewall-இலும் எதுவும் கிடைக்காது, எனவே முன்னொட்டு பட்டியலும் firewall கொள்கையும் தனித்தனி ஆவணங்களாகவே இருக்கும்.

சான்றுகள் அங்கீகார முறைக்கு உரியவை

இயந்திரச் சான்றிதழ் சுயவிவரத்திற்கு பயனர் ரகசியம் எதுவும் தேவையில்லை, ஆனால் EAP-MSCHAPv2 சுயவிவரத்திற்குத் தேவை. இரண்டாவது வழக்கில் VPNCredentialsHelper தொகுதி Set-VpnConnectionUsernamePassword-ஐ வழங்குகிறது, அது வெற்று உரையை விரும்புகிறது: $cred.Password என்பது SecureString, எனவே முதலில் அதை GetNetworkCredential().Password மூலம் திறக்கவும். கட்டளை இயங்கும் எல்லா இடத்திலும் தொகுதியை நிறுவுங்கள், எழுதப்பட்ட பணிநிலையத்தில் மட்டுமல்ல. EAP-TLS அல்லது தனிப்பயன் முறை இந்த cmdlet-ஐ பயன்படுத்துவதே இல்லை; அதற்குப் பதிலாக EAP உள்ளமைவு XML-ஐ எடுக்கிறது.

rasdial "Office IKEv2" ஷெல்லில் இருந்து இணைப்பை எழுப்புகிறது, நிகழ்வுப் பதிவில் அல்லாமல் முன்னணியில் முடிவைப் பார்ப்பதற்கு இதுவே வேகமான வழி.

இணைக்கப்பட்ட சுரங்கப்பாதை எதை நிரூபிக்காது

இணைக்கப்பட்ட நிலை IKE பரிமாற்றத்தையும் அங்கீகாரப் படியையும் உள்ளடக்குகிறது, அதற்கு மேல் எதுவும் இல்லை. DNS நடத்தை, தனிப்பட்ட புரவலனுக்கான பாதை மற்றும் தொலை firewall அனைத்தும் இன்னும் நிரூபிக்கப்படவில்லை. வெளிநோக்கி வேலை செய்யுங்கள்: சுரங்கப்பாதை அடாப்டர், பின்னர் தனிப்பட்ட முகவரிக்கான வழித் தேடல், பின்னர் உங்களுக்கு அனுமதி உள்ள ஒரு சேவை. முதலில் தோல்வியடையும் கவனிப்பே ஆராய வேண்டிய அடுக்கைக் காட்டுகிறது.

சுயவிவரத்தை மாற்றும்போது, மீண்டும் உருவாக்கும் முன் முந்தையதை Remove-VpnConnection -Name "Office IKEv2" -Force மூலம் நீக்குங்கள்; இல்லையெனில் திருத்தத்திற்குப் பிறகும் பழைய அமைப்புகளும் வழிகளும் நீடிக்கும். இன்னும் இணைக்கவில்லை என்றால், சுயவிவரத்தில் பதிவான விரல் ரேகையை சேமிப்பகத்தில் உள்ளதுடன் ஒப்பிடுங்கள், ஏனெனில் மாறாத பொருளின் கீழ் இடையில் மாற்றப்பட்ட அடையாளத்திற்கான குறிப்பை Windows வைத்திருக்கலாம்.

விரல் ரேகை, EAP முறை மற்றும் வழிப் பட்டியலை சுயவிவரத்தின் அருகில் வைத்திருங்கள். ஒன்றாக அவை பின்னர் தவறாகும் பலவற்றை விளக்குகின்றன.