สคริปต์โปรไฟล์ Azure P2S VPN สำหรับผู้ใช้ Windows ทุกคน

การแจกจ่ายแพ็กเกจ Azure แบบจุดไปยังไซต์ด้วยมือได้ผลกับแล็ปท็อปห้าเครื่องและพังทลายที่ห้าสิบเครื่อง เส้นทางแบบสคริปต์มีกับดักสองอย่าง ซึ่งแต่ละอย่างกินเวลาหนึ่งบ่าย: ข้อผิดพลาดของพารามิเตอร์ที่ดูเหมือนความล้มเหลวของใบรับรอง และเส้นทางที่การเชื่อมต่อไม่เคยติดตั้งเลย แม้ว่าสิ่งอื่นจะถูกต้องทั้งหมด ทั้งสองอย่างไม่ได้รับการแก้ไขด้วยการดาวน์โหลดแพ็กเกจไคลเอนต์อีกครั้ง ทำการตรวจสอบด้านล่างตามลำดับและหยุดที่รายการแรกที่ล้มเหลว

ผมคงลำดับไว้เพราะแต่ละขั้นตอนถือว่าขั้นก่อนหน้าถูกต้อง

1. แก้ไขขอบเขตโปรไฟล์ก่อนอุปกรณ์เครื่องแรก

โปรไฟล์ สำหรับผู้ใช้ทุกคน อยู่บนเครื่องและปรากฏในทุกเซสชัน โปรไฟล์ต่อผู้ใช้ติดตามบัญชีเดียวและเก็บข้อมูลรับรองไว้ในบริบทของบัญชีนั้น เลือกอย่างใดอย่างหนึ่งและยึดไว้ เพราะเครื่องที่มีทั้งสองแบบจะแสดงสองรายการชื่อเดียวกัน และผู้ใช้จะเชื่อมต่อกับรายการที่ปรากฏก่อน การเปลี่ยนขอบเขตภายหลังหมายถึงการนำโปรไฟล์เก่าออกก่อนแทนที่จะแก้ไขในที่

โปรไฟล์สำหรับผู้ใช้ทุกคนเหมาะกับอุปกรณ์ที่ใช้ร่วมกันและคีออสก์ซึ่งไม่มีใครลงชื่อเข้าด้วยบัญชีส่วนตัว เป็นค่าเริ่มต้นที่ไม่ถูกต้องเมื่อออกใบรับรองรายบุคคล เพราะโปรไฟล์ระดับเครื่องไม่สามารถแสดงข้อมูลรับรองของคนอื่นได้ บันทึกตัวเลือกไว้ในบันทึกการปรับใช้ก่อนที่แล็ปท็อปเครื่องที่สองจะมีอยู่

2. ส่งสวิตช์เป็นสวิตช์

Add-VpnConnection รับพารามิเตอร์แบบสวิตช์ที่มีหรือไม่มีก็ได้ การส่ง $true ให้กับพารามิเตอร์เหล่านี้ทำให้เกิดข้อผิดพลาด EapConfigXmlStream ซึ่งเป็นเหตุผลที่กระทู้จำนวนมากเกี่ยวกับเรื่องนี้จบลงด้วยการตรวจสอบห่วงโซ่ใบรับรองที่ไม่เคยเป็นปัญหา

Add-VpnConnection -Name "Contoso P2S" `
  -ServerAddress "azuregateway-00000000-0000-0000-0000-000000000000.cloudapp.net" `
  -AllUserConnection -UseWinLogonCredential -RememberCredential `
  -TunnelType Automatic -EncryptionLevel Required -AuthenticationMethod MSChapv2

ที่อยู่เกตเวย์ด้านบนเป็นเพียงตัวอย่าง นำของจริงจากแพ็กเกจที่ดาวน์โหลดมาและเก็บไว้ในเครื่องหมายคำพูด -AllUserConnection ต้องใช้เซสชันที่ยกระดับ และโปรไฟล์ที่สร้างขึ้นเป็นระดับเครื่องแม้ว่าคุณจะรันคำสั่งในฐานะผู้ดูแลระบบ อ่านชุดพารามิเตอร์ด้วย Get-Help Add-VpnConnection -Parameter * ก่อนเพิ่มสวิตช์อื่น

3. เพิ่มเส้นทางที่อะแดปเตอร์ไม่ได้เพิ่ม

อะแดปเตอร์แบบจุดไปยังไซต์ติดตั้งเส้นทางเดียวสำหรับพูลที่อยู่ไคลเอนต์และไม่มีอย่างอื่น

คำนำหน้าเครือข่ายเสมือนนอกพูลนั้นยังเข้าถึงไม่ได้ในขณะที่อุโมงค์ยังรายงาน Connected ซึ่งเป็นความล้มเหลวที่สับสนที่สุดในขั้นตอนการทำงานนี้ เพิ่มเส้นทางอย่างชัดเจนหลังจากเชื่อมต่อสำเร็จ และชี้ไปที่ที่อยู่ส่วนติดต่อที่อะแดปเตอร์ได้รับแทนที่จะเป็นชื่อเกตเวย์สาธารณะ ที่อยู่นั้นมาจาก ipconfig หลังเชื่อมต่อ และเปลี่ยนไประหว่างเซสชัน

route add 10.0.0.0 mask 255.255.0.0 10.0.1.5
route print -4 | findstr /c:"10.0.0.0"

ลบเส้นทางเมื่อตัดการเชื่อมต่อเพื่อไม่ให้ฮอปถัดไปที่เก่าค้างส่งทราฟฟิกไปยังหลุมดำในภายหลัง ถือว่าคำสั่งนี้เป็นข้อยกเว้นเฉพาะที่และมีเอกสารกำกับ: หากไคลเอนต์เวอร์ชันในอนาคตเพิ่มเส้นทางเอง บรรทัดของคุณจะกลายเป็นรายการซ้ำที่แข่งกับฮอปถัดไปของแพ็กเกจเอง

4. ตรวจสอบในฐานะผู้ใช้มาตรฐาน

เซสชันผู้ดูแลระบบซ่อนข้อผิดพลาดด้านขอบเขต เพราะการยกระดับบางครั้งให้ข้อมูลรับรองที่ผู้ใช้จริงไม่มี

ลงชื่อเข้าใช้ในฐานะที่ไม่ใช่ผู้ดูแลระบบ เชื่อมต่อผ่านโปรไฟล์ และทดสอบบริการส่วนตัวหนึ่งรายการแทนอินเทอร์เน็ตสาธารณะ ยืนยันว่าโปรไฟล์ปรากฏใน Get-VpnConnection -AllUserConnection สถานะไปถึง Connected และเส้นทางที่คุณเพิ่มชี้ไปที่ที่อยู่ของอะแดปเตอร์ปัจจุบัน จากนั้นให้เครื่องหลับ ปลุก และเปรียบเทียบ ipconfig อีกครั้ง

5. ถอนการปรับใช้ที่ไม่ดีอย่างสะอาด

Remove-VpnConnection พร้อม -AllUserConnection และ -Force จะลบโปรไฟล์ระดับเครื่อง Force มีความสำคัญเพราะโปรไฟล์ที่เชื่อมต่ออยู่จะปฏิเสธการลบหากไม่มี และโปรไฟล์ที่ถูกลบครึ่งเดียววินิจฉัยได้ยากกว่าการติดตั้งใหม่ที่สะอาด

เก็บชื่อโปรไฟล์ ที่อยู่เกตเวย์ และเส้นทางที่เพิ่มไว้ในบันทึกการปรับใช้ ค่าสามอย่างนั้นคือสิ่งที่การโทรหาศูนย์ช่วยเหลือต้องการก่อนที่ใครจะเปิดตั๋ว และยังเป็นสิ่งที่สคริปต์ถัดไปต้องการเมื่อที่อยู่เกตเวย์เปลี่ยน เพิ่มเวอร์ชันของแพ็กเกจไคลเอนต์ในบันทึกเดียวกัน เพราะพฤติกรรมของเส้นทางเป็นของแพ็กเกจนั้นไม่ใช่ของ Windows