PowerShell లో మెషిన్ సర్టిఫికెట్తో IKEv2 VPN నిర్మించడం

PowerShell ప్రారంభం నుండి ముగింపు వరకు నియంత్రించే IKEv2 క్లయింట్ను Windows అందిస్తుంది, కాబట్టి పనిచేసే సొరంగానికి GUI లేదా మూడవ పక్ష సాఫ్ట్వేర్ అవసరం లేదు. దాదాపు ప్రతి వైఫల్యం మూడు ప్రదేశాల నుండి వస్తుంది: సర్టిఫికెట్ ఎక్కడ ముగిసింది, రూట్ ప్రిఫిక్స్లు ఎలా వ్రాయబడ్డాయి మరియు ఎంచుకున్న EAP పద్ధతి ఏమి ఆశిస్తుంది. వాటిని అదే క్రమంలో నిర్వహించండి, ఎందుకంటే తదుపరిది ప్రారంభమయ్యే ముందు ప్రతిదీ తనిఖీ చేయగలము మరియు తరువాతి లోపం మునుపటి దాన్ని కప్పివేస్తుంది.

ఎవరైనా లాగిన్ అయ్యే ముందు ప్రారంభం కావడానికే మెషిన్ సర్టిఫికెట్ సొరంగాలు ఉన్నాయి, అందుకే గుర్తింపు సాధారణంగా వినియోగదారు నిల్వలో కాకుండా కంప్యూటర్ నిల్వలో ఉండాలి.

మొదట సర్టిఫికెట్, తరువాత సొరంగం

రెండు దిగుమతులు ముఖ్యం. క్లయింట్ గుర్తింపు Import-PfxCertificate ద్వారా Cert:\LocalMachine\My కు వెళుతుంది, జారీ చేసే CA Import-Certificate ద్వారా Cert:\LocalMachine\Root కు వెళుతుంది. ఒకే ఆకు సర్టిఫికెట్ ఏ గొలుసును నిరూపించదు, కాబట్టి రెండవ దిగుమతిని దాటవేస్తే ధృవీకరణకు ఆధారం ఉండదు. ఉనికికి అదనంగా, ప్రైవేట్ కీ జోడించబడి ఉండాలి మరియు కంప్యూటర్ ఖాతాకు దాన్ని చదవడానికి అనుమతి ఉండాలి. Get-ChildItem Cert:\LocalMachine\My ఏమి వచ్చిందో జాబితా చేస్తుంది; విషయాలను కాకుండా వేలిముద్రలను పోల్చండి, ఎందుకంటే దాదాపు ఒకే విధమైన విషయాలు సాధారణం.

అమలు చేసే ముందు విస్తరిత కీ వినియోగాన్ని తనిఖీ చేయండి. IKEv2 మెషిన్ గుర్తింపుకు క్లయింట్ ప్రామాణీకరణ సాధారణ అవసరం, మరియు ఎదుటి వైపు దాన్ని సంతకం చేసిన CA ను నమ్మాలి. వినియోగదారు నిల్వలో ఉన్న గుర్తింపు కంప్యూటర్ సందర్భంలోని కనెక్షన్కు లేదు.

ప్రొఫైల్ మరియు దాని రూట్లను సృష్టించండి

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection ప్రొఫైల్ను వ్రాస్తుంది. -AllUserConnection స్విచ్ దాన్ని ప్రపంచ ఫోన్ బుక్లో ప్రచురిస్తుంది, పంచుకున్న లేదా సేవ ద్వారా నిర్వహించే మెషిన్కు సరిపోతుంది; ఒకే వినియోగదారు కోసం దాన్ని వదిలేయండి. మీరు ఇచ్చే ఏ చిరునామా అయినా సర్వర్ సర్టిఫికెట్లోని DNS పేరుతో సరిపోలాలి, లేకపోతే సొరంగం ఇప్పటికే లేచిన తర్వాత వైఫల్యం కనిపిస్తుంది. తరువాత ప్రిఫిక్స్లు Add-VpnConnectionRoute తో ఒక్కొక్కటిగా జోడించబడతాయి, డిజైన్కు నిజంగా అవసరమైనవి మాత్రమే.

IPv6 కు ఒక విచిత్రం ఉంది: Windows ::/0 ను VPN రూట్గా నిరాకరిస్తుంది, కాబట్టి ::/1 మరియు 8000::/1 కలిసి అదే చిరునామా స్థలాన్ని ఆవరిస్తాయి. ప్రిఫిక్స్ రూటింగ్ దూరపు firewall లో కూడా ఏమీ ఇవ్వదు, కాబట్టి ప్రిఫిక్స్ జాబితా మరియు firewall విధానం వేర్వేరు పత్రాలుగానే ఉంటాయి.

ఆధారాలు ప్రామాణీకరణ పద్ధతికి చెందుతాయి

మెషిన్ సర్టిఫికెట్ ప్రొఫైల్కు వినియోగదారు రహస్యం అసలు అవసరం లేదు, కానీ EAP-MSCHAPv2 ప్రొఫైల్కు అవసరం. రెండవ సందర్భంలో VPNCredentialsHelper మాడ్యూల్ Set-VpnConnectionUsernamePassword ను అందిస్తుంది, మరియు అది సాదా వచనాన్ని కోరుతుంది: $cred.Password అనేది SecureString, కాబట్టి మొదట దాన్ని GetNetworkCredential().Password తో తెరవండి. ఆదేశం నడిచే ప్రతి చోట మాడ్యూల్ను ఇన్స్టాల్ చేయండి, వ్రాసిన వర్క్స్టేషన్లో మాత్రమే కాదు. EAP-TLS లేదా అనుకూల పద్ధతి ఈ cmdlet ను అసలు ఉపయోగించదు; బదులుగా EAP కాన్ఫిగరేషన్ XML తీసుకుంటుంది.

rasdial "Office IKEv2" షెల్ నుండి కనెక్షన్ను లేపుతుంది, ఈవెంట్ లాగ్లో కాకుండా ముందు ఫలితాన్ని చూడటానికి ఇదే వేగవంతమైన మార్గం.

కనెక్ట్ అయిన సొరంగం ఏమి నిరూపించదు

కనెక్ట్ స్థితి IKE మార్పిడి మరియు ప్రామాణీకరణ దశను ఆవరిస్తుంది, అంతకు మించి ఏమీ లేదు. DNS ప్రవర్తన, ప్రైవేట్ హోస్ట్కు మార్గం మరియు దూరపు firewall అన్నీ ఇంకా నిరూపితం కాలేదు. బయటకు పని చేయండి: సొరంగం అడాప్టర్, తరువాత ప్రైవేట్ చిరునామా కోసం రూట్ అన్వేషణ, తరువాత మీకు అనుమతి ఉన్న ఒక సేవ. మొదట విఫలమయ్యే పరిశీలనే పరిశోధించాల్సిన పొరను సూచిస్తుంది.

ప్రొఫైల్ మార్చినప్పుడు, మళ్లీ సృష్టించే ముందు మునుపటి దాన్ని Remove-VpnConnection -Name "Office IKEv2" -Force తో తొలగించండి; లేకపోతే సవరణ తర్వాత కూడా పాత సెట్టింగ్లు మరియు రూట్లు ఉంటాయి. ఇంకా కనెక్ట్ కాకపోతే, ప్రొఫైల్లో నమోదైన వేలిముద్రను నిల్వలో ఉన్న దానితో పోల్చండి, ఎందుకంటే మారని విషయం కింద మధ్యలో మార్చబడిన గుర్తింపుకు సూచనను Windows ఉంచుకోవచ్చు.

వేలిముద్ర, EAP పద్ధతి మరియు రూట్ జాబితాను ప్రొఫైల్ పక్కన ఉంచండి. కలిసి అవి తరువాత తప్పుగా జరిగే వాటిలో చాలావరకు వివరిస్తాయి.