PowerShell میں مشین سرٹیفکیٹ کے ساتھ IKEv2 VPN بنانا

Windows ایک IKEv2 کلائنٹ دیتا ہے جسے PowerShell شروع سے آخر تک کنٹرول کرتا ہے، اس لیے کام کرنے والی سرنگ کو نہ GUI چاہیے نہ فریق ثالث کا سافٹ ویئر۔ تقریباً ہر ناکامی تین مقامات سے آتی ہے: سرٹیفکیٹ کہاں پہنچا، روٹ سابقے کیسے لکھے گئے اور منتخب کردہ EAP طریقہ کیا توقع کرتا ہے۔ انہیں اسی ترتیب سے نمٹائیں، کیونکہ اگلے کے شروع ہونے سے پہلے ہر ایک کی جانچ ہو سکتی ہے اور بعد کی غلطی پہلے کی غلطی کو چھپا دے گی۔

مشین سرٹیفکیٹ والی سرنگیں اس لیے ہوتی ہیں کہ کوئی لاگ ان کرنے سے پہلے شروع ہوں، اسی لیے شناخت عام طور پر صارف کے ذخیرے کے بجائے کمپیوٹر کے ذخیرے میں رہنی چاہیے۔

پہلے سرٹیفکیٹ، پھر سرنگ

دو درآمدات اہم ہیں۔ کلائنٹ شناخت Import-PfxCertificate کے ذریعے Cert:\LocalMachine\My میں جاتی ہے، اور جاری کرنے والا CA Import-Certificate کے ذریعے Cert:\LocalMachine\Root میں جاتا ہے۔ صرف ایک پتی سرٹیفکیٹ کوئی زنجیر ثابت نہیں کرتا، اس لیے دوسری درآمد چھوڑ دینے سے جانچ کے پاس کوئی بنیاد نہیں رہتی۔ موجودگی کے علاوہ، نجی کلید منسلک ہونی چاہیے اور کمپیوٹر اکاؤنٹ کو اسے پڑھنے کی اجازت ہونی چاہیے۔ Get-ChildItem Cert:\LocalMachine\My بتاتا ہے کہ کیا آیا؛ موضوعات کے بجائے انگوٹھے کے نقوش کا موازنہ کریں، کیونکہ تقریباً یکساں موضوعات عام ہیں۔

تعینات کرنے سے پہلے توسیع شدہ کلید کا استعمال جانچیں۔ IKEv2 مشین شناخت کے لیے کلائنٹ کی توثیق معمول کی شرط ہے، اور سامنے والے فریق کو اس CA پر بھروسہ کرنا ہوگا جس نے اس پر دستخط کیے۔ صارف کے ذخیرے میں موجود شناخت کمپیوٹر سیاق و سباق کے کنکشن کے لیے موجود نہیں۔

پروفائل اور اس کے راستے بنائیں

Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection پروفائل لکھتا ہے۔ -AllUserConnection سوئچ اسے عالمی فون بک میں شائع کرتا ہے، جو مشترکہ یا سروس کے زیرِ انتظام مشین کے لیے موزوں ہے؛ ایک صارف کے لیے اسے چھوڑ دیں۔ جو بھی پتہ دیں، اسے سرور کے سرٹیفکیٹ میں دیے گئے DNS نام سے مطابقت رکھنی چاہیے، ورنہ ناکامی سرنگ کے پہلے ہی کھڑے ہونے کے بعد ظاہر ہوگی۔ پھر سابقے Add-VpnConnectionRoute کے ساتھ ایک ایک کر کے شامل کیے جاتے ہیں، اور صرف وہی جن کی ڈیزائن کو واقعی ضرورت ہے۔

IPv6 میں ایک عجیب بات ہے: Windows ::/0 کو VPN راستے کے طور پر مسترد کرتا ہے، اس لیے ::/1 اور 8000::/1 مل کر وہی پتہ فضا ڈھانپتے ہیں۔ سابقے کو روٹ کرنے سے دور کے فائر وال پر بھی کچھ نہیں ملتا، اس لیے سابقوں کی فہرست اور فائر وال پالیسی الگ دستاویزات رہتی ہیں۔

اسناد توثیق کے طریقے سے تعلق رکھتی ہیں

مشین سرٹیفکیٹ پروفائل کو صارف کا کوئی راز درکار نہیں ہوتا، جبکہ EAP-MSCHAPv2 پروفائل کو درکار ہوتا ہے۔ دوسری صورت میں VPNCredentialsHelper ماڈیول Set-VpnConnectionUsernamePassword فراہم کرتا ہے، اور وہ سادہ متن چاہتا ہے: $cred.Password ایک SecureString ہے، اس لیے پہلے اسے GetNetworkCredential().Password سے کھولیں۔ ماڈیول ہر وہاں نصب کریں جہاں کمانڈ چلتی ہے، صرف اس ورک سٹیشن پر نہیں جہاں یہ لکھی گئی۔ EAP-TLS یا حسبِ ضرورت طریقہ یہ cmdlet بالکل استعمال نہیں کرتا؛ اس کے بجائے EAP کنفیگریشن XML لیتا ہے۔

rasdial "Office IKEv2" شیل سے کنکشن اٹھاتا ہے، اور واقعہ لاگ کے بجائے سامنے نتیجہ دیکھنے کا یہ تیز ترین طریقہ ہے۔

جڑی ہوئی سرنگ کیا ثابت نہیں کرتی

جڑی حالت IKE تبادلے اور توثیق کے مرحلے کو ڈھانپتی ہے، اس سے آگے کچھ نہیں۔ DNS کا رویہ، نجی میزبان تک راستہ اور دور کا فائر وال سب ابھی ثابت نہیں ہوئے۔ باہر کی طرف کام کریں: سرنگ اڈاپٹر، پھر نجی پتے کے لیے راستے کی تلاش، پھر ایک خدمت جس کے استعمال کی آپ کو اجازت ہے۔ پہلا مشاہدہ جو ناکام ہو وہی جانچ کی جانے والی تہہ بتاتا ہے۔

پروفائل بدلتے وقت، دوبارہ بنانے سے پہلے پچھلا Remove-VpnConnection -Name "Office IKEv2" -Force سے حذف کریں؛ ورنہ ترمیم کے بعد بھی پرانی ترتیبات اور راستے باقی رہتے ہیں۔ اگر پھر بھی جڑتا نہیں، تو پروفائل میں درج انگوٹھے کا نقش ذخیرے میں موجود نقش سے موازنہ کریں، کیونکہ Windows کسی ایسی شناخت کا حوالہ رکھ سکتا ہے جو اس دوران غیر تبدیل شدہ موضوع کے تحت بدل دی گئی ہو۔

انگوٹھے کا نقش، EAP طریقہ اور راستوں کی فہرست پروفائل کے پاس رکھیں۔ مل کر یہ بعد میں خراب ہونے والی زیادہ تر چیزوں کی وضاحت کرتے ہیں۔