Pagbuo ng IKEv2 VPN sa PowerShell gamit ang certificate ng makina

Nagbibigay ang Windows ng IKEv2 client na kontrolado ng PowerShell mula simula hanggang dulo, kaya ang gumaganang tunnel ay hindi nangangailangan ng GUI o software ng third party. Halos lahat ng pagkabigo ay nagmumula sa tatlong lugar: kung saan napunta ang certificate, paano isinulat ang mga prefix ng ruta at ano ang inaasahan ng napiling EAP method. Harapin ang mga ito sa ganoong pagkakasunod-sunod, dahil bawat isa ay nasusuri bago magsimula ang susunod at ang huling error ay magtatakip sa naunang error.

Umiiral ang mga tunnel na may certificate ng makina upang magsimula bago mag-log in ang sinuman, kaya kadalasan ay dapat nasa tindahan ng computer ang pagkakakilanlan at hindi sa tindahan ng user.

Certificate muna, tunnel pagkatapos

Dalawang import ang mahalaga. Pumapasok ang pagkakakilanlan ng client sa Cert:\LocalMachine\My sa pamamagitan ng Import-PfxCertificate, at pumapasok ang nag-isyung CA sa Cert:\LocalMachine\Root sa pamamagitan ng Import-Certificate. Ang isang dahon na certificate lamang ay hindi nagpapatunay ng anumang kadena, kaya ang laktawan ang pangalawang import ay nag-iiwan ng pagpapatunay na walang batayan. Bukod sa pagkanaroon, dapat nakakabit ang pribadong key at dapat pinapayagan ang computer account na basahin ito. Naglilista ang Get-ChildItem Cert:\LocalMachine\My ng dumating; ihambing ang mga thumbprint sa halip na mga subject, dahil karaniwan ang halos magkaparehong subject.

Suriin ang extended key usage bago i-deploy. Ang pagpapatunay ng client ang karaniwang pangangailangan para sa IKEv2 machine identity, at dapat magtiwala ang kabilang panig sa CA na pumirma nito. Ang pagkakakilanlan sa tindahan ng user ay hindi umiiral para sa koneksyon sa konteksto ng computer.

Gumawa ng profile at ng mga ruta nito

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection ang nagsusulat ng profile. Inilalathala ng switch na -AllUserConnection ang profile sa pandaigdigang phone book, angkop sa nakabahaging o pinamamahalaang makina; alisin ito para sa isang user. Anumang address na ipasa mo ay dapat tumugma sa pangalan ng DNS sa certificate ng server, kung hindi, lilitaw ang pagkabigo pagkatapos nang nakaangat ang tunnel. Pagkatapos, idinaragdag ang mga prefix nang isa-isa gamit ang Add-VpnConnectionRoute, at tanging ang mga talagang kailangan ng disenyo.

May kakaibang asal ang IPv6: tinatanggihan ng Windows ang ::/0 bilang ruta ng VPN, kaya magkasamang sinasaklaw ng ::/1 at 8000::/1 ang parehong espasyo ng address. Ang pag-ruta ng prefix ay wala ring ibinibigay sa malayong firewall, kaya nananatiling magkahiwalay na dokumento ang listahan ng prefix at ang patakaran ng firewall.

Ang mga credential ay nabibilang sa paraan ng pagpapatunay

Ang profile na may certificate ng makina ay hindi nangangailangan ng anumang sikreto ng user, samantalang ang profile ng EAP-MSCHAPv2 ay nangangailangan. Sa pangalawang kaso, nagbibigay ang module na VPNCredentialsHelper ng Set-VpnConnectionUsernamePassword, at gusto nito ng simpleng teksto: ang $cred.Password ay isang SecureString, kaya buksan muna ito gamit ang GetNetworkCredential().Password. I-install ang module saanman tumatakbo ang command, hindi lamang sa workstation kung saan ito isinulat. Ang EAP-TLS o custom na paraan ay hindi gumagamit ng cmdlet na ito; sa halip ay kumukuha ito ng XML ng configuration ng EAP.

Itinataas ng rasdial "Office IKEv2" ang koneksyon mula sa shell, na siyang pinakamabilis na paraan upang makita ang resulta sa harapan sa halip na sa event log.

Ano ang hindi pinapatunayan ng nakakonektang tunnel

Sinasaklaw ng status na nakakonekta ang pagpapalitan ng IKE at ang hakbang ng pagpapatunay, at wala nang iba pa. Ang asal ng DNS, ang landas patungo sa pribadong host at ang malayong firewall ay hindi pa rin napatunayan. Magtrabaho pakanlabas: ang adapter ng tunnel, pagkatapos ang paghahanap ng ruta para sa pribadong address, pagkatapos ang isang serbisyo na may pahintulot kang gamitin. Ang unang obserbasyong nabigo ang nagtuturo ng layer na dapat siyasatin.

Kapag binago mo ang profile, tanggalin ang nauna gamit ang Remove-VpnConnection -Name "Office IKEv2" -Force bago ito muling likhain; kung hindi, nananatili ang lumang setting at ruta pagkatapos ng pag-edit. Kung ayaw pa rin nitong kumonekta, ihambing ang thumbprint na nakatala sa profile sa nasa tindahan, dahil maaaring humawak ang Windows ng sanggunian sa pagkakakilanlang napalitan na sa ilalim ng hindi nagbabagong subject.

Itabi ang thumbprint, ang paraan ng EAP at ang listahan ng ruta sa tabi ng profile. Kapag pinagsama, ipinapaliwanag nila ang karamihan ng mga nagiging mali sa hinaharap.