PowerShell'de makine sertifikasıyla IKEv2 VPN oluşturma

Windows, PowerShell'in uçtan uca denetlediği bir IKEv2 istemcisi sunar; bu nedenle çalışan bir tünel ne GUI'ye ne de üçüncü taraf yazılıma ihtiyaç duyar. Neredeyse her başarısızlık üç yerden gelir: sertifikanın nereye düştüğü, yol öneklerinin nasıl yazıldığı ve seçilen EAP yönteminin ne beklediği. Bunları bu sırayla ele alın, çünkü her biri bir sonraki başlamadan önce denetlenebilir ve daha sonraki bir hata öncekini gizler.

Makine sertifikalı tüneller, herhangi biri oturum açmadan önce başlamak için vardır; bu yüzden kimlik normalde kullanıcının değil bilgisayarın deposunda yaşamalıdır.

Önce sertifika, sonra tünel

İki içe aktarma önemlidir. İstemci kimliği Import-PfxCertificate aracılığıyla Cert:\LocalMachine\My içine, veren CA ise Import-Certificate aracılığıyla Cert:\LocalMachine\Root içine gider. Tek başına bir uç sertifika hiçbir zinciri kanıtlamaz; bu yüzden ikinci içe aktarmayı atlamak doğrulamayı dayanaksız bırakır. Varlığın ötesinde özel anahtar eklenmiş olmalı ve bilgisayar hesabına onu okuma izni verilmelidir. Get-ChildItem Cert:\LocalMachine\My gelenleri listeler; neredeyse aynı konular yaygın olduğundan konuları değil parmak izlerini karşılaştırın.

Dağıtmadan önce genişletilmiş anahtar kullanımını denetleyin. IKEv2 makine kimliği için istemci kimlik doğrulaması olağan gerekliliktir ve karşı taraf onu imzalayan CA'ya güvenmelidir. Kullanıcı deposundaki bir kimlik, bilgisayar bağlamındaki bir bağlantı için yok hükmündedir.

Profili ve yollarını oluşturun

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection profili yazar. -AllUserConnection anahtarı onu genel telefon defterinde yayımlar; paylaşılan veya hizmet tarafından yönetilen bir makine için uygundur, tek kullanıcı için bırakın. Hangi adresi verirseniz verin, o adres sunucunun sertifikasındaki DNS adıyla eşleşmelidir, aksi halde hata tünel zaten ayaktayken ortaya çıkar. Ardından önekler Add-VpnConnectionRoute ile tek tek eklenir ve yalnızca tasarımın gerçekten ihtiyaç duyduğu önekler eklenir.

IPv6'nın bir tuhaflığı vardır: Windows ::/0'i VPN yolu olarak reddeder, bu yüzden ::/1 ve 8000::/1 birlikte aynı adres alanını kapsar. Bir öneki yönlendirmek uzak güvenlik duvarında da hiçbir şey vermez, bu nedenle önek listesi ve güvenlik duvarı ilkesi ayrı belgeler olarak kalır.

Kimlik bilgileri kimlik doğrulama yöntemine aittir

Makine sertifikalı bir profil hiçbir kullanıcı sırrına ihtiyaç duymazken EAP-MSCHAPv2 profili duyar. İkinci durumda VPNCredentialsHelper modülü Set-VpnConnectionUsernamePassword sağlar ve düz metin ister: $cred.Password bir SecureString'tür, bu yüzden önce GetNetworkCredential().Password ile açın. Modülü komutun çalıştığı her yere kurun, yalnızca yazıldığı iş istasyonuna değil. EAP-TLS veya özel bir yöntem bu cmdlet'i hiç kullanmaz; bunun yerine EAP yapılandırma XML'i alır.

rasdial "Office IKEv2" bağlantıyı bir kabuktan kaldırır ve olay günlüğü yerine ön planda sonucu görmenin en hızlı yolu budur.

Bağlı bir tünelin kanıtlamadığı şeyler

Bağlı durumu IKE alışverişini ve kimlik doğrulama adımını kapsar, fazlasını değil. DNS davranışı, özel bir konağa giden yol ve uzak güvenlik duvarı hâlâ kanıtlanmamıştır. Dışa doğru çalışın: tünel bağdaştırıcısı, ardından özel bir adres için yol araması, ardından kullanma yetkiniz olan bir hizmet. Başarısız olan ilk gözlem, incelenecek katmanı gösterir.

Bir profili değiştirdiğinizde, yeniden oluşturmadan önce öncekini Remove-VpnConnection -Name "Office IKEv2" -Force ile silin; aksi halde eski ayarlar ve yollar düzenlemeden sonra da kalır. Hâlâ bağlanmıyorsa, profilde kayıtlı parmak izini depoda bulunanla karşılaştırın, çünkü Windows değişmemiş bir konu altında bu arada değiştirilmiş bir kimliğe başvuru tutabilir.

Parmak izini, EAP yöntemini ve yol listesini profilin yanında tutun. Birlikte, sonradan ters giden şeylerin çoğunu açıklarlar.