PowerShell'da mashina sertifikati bilan IKEv2 VPN qurish
Sertifikat joylashuvi, marshrut prefikslari va EAP ma'lumotlari IKEv2 skripti muvaffaqiyatsiz bo'ladigan joylardir. Tunnelni PowerShell'da quring va har bir bosqichni alohida tekshiring.
Windows PowerShell boshdan oxirigacha boshqaradigan IKEv2 mijozi bilan birga keladi, shuning uchun ishlaydigan tunnelga GUI ham, uchinchi tomon dasturi ham kerak emas. Deyarli har bir muvaffaqiyatsizlik uch joydan keladi: sertifikat qayerga tushdi, marshrut prefikslari qanday yozildi va tanlangan EAP usuli nimani kutadi. Ularni shu tartibda hal qiling, chunki har birini keyingisi boshlanishidan oldin tekshirish mumkin va keyinroq chiqqan xato avvalgisini yashiradi.
Mashina sertifikatli tunnellar kimdir tizimga kirishidan oldin ishga tushish uchun mavjud, shuning uchun identifikatsiya odatda foydalanuvchiniki emas, kompyuterniki xotirada bo'lishi kerak.
Avval sertifikat, keyin tunnel
Ikki import muhim. Mijoz identifikatsiyasi Import-PfxCertificate orqali Cert:\LocalMachine\My ga, chiqaruvchi CA esa Import-Certificate orqali Cert:\LocalMachine\Root ga tushadi. Yakka barg sertifikat hech qanday zanjirni isbotlamaydi, shuning uchun ikkinchi importni o'tkazib yuborish tekshiruvni asossiz qoldiradi. Mavjudlikdan tashqari, shaxsiy kalit biriktirilgan bo'lishi va kompyuter hisobiga uni o'qishga ruxsat berilishi kerak. Get-ChildItem Cert:\LocalMachine\My nima kelganini sanaydi; subyektlarni emas, barmoq izlarini solishtiring, chunki deyarli bir xil subyektlar tez-tez uchraydi.
Joylashtirishdan oldin kengaytirilgan kalit ishlatilishini tekshiring. IKEv2 mashina identifikatsiyasi uchun mijoz autentifikatsiyasi odatiy talab bo'lib, qarshi tomon uni imzolagan CA ga ishonishi kerak. Foydalanuvchi xotirasidagi identifikatsiya kompyuter kontekstidagi ulanish uchun mavjud emas.
Profil va uning marshrutlarini yarating
Add-VpnConnection -Name "Office IKEv2" -ServerAddress vpn.example.com -TunnelType Ikev2 -EncryptionLevel Required -AuthenticationMethod MachineCertificate -AllUserConnection profilni yozadi. -AllUserConnection kaliti uni global telefon kitobida e'lon qiladi, bu umumiy yoki xizmat tomonidan boshqariladigan mashinaga mos keladi; bitta foydalanuvchi uchun uni tashlab keting. Qaysi manzilni bersangiz ham, u server sertifikatidagi DNS nomiga mos kelishi kerak, aks holda xato tunnel allaqachon ko'tarilgandan keyin paydo bo'ladi. So'ngra prefikslar Add-VpnConnectionRoute bilan birma-bir qo'shiladi va faqat dizaynga haqiqatan kerak bo'lganlari.
IPv6 ning bir o'ziga xosligi bor: Windows ::/0 ni VPN marshruti sifatida rad etadi, shuning uchun ::/1 va 8000::/1 birga bir xil manzil fazosini qoplaydi. Prefiksni marshrutlash uzoq firewall da ham hech narsa bermaydi, shuning uchun prefikslar ro'yxati va firewall siyosati alohida hujjatlar bo'lib qoladi.
Ma'lumotlar autentifikatsiya usuliga tegishli
Mashina sertifikatli profil foydalanuvchi siriga umuman muhtoj emas, EAP-MSCHAPv2 profili esa muhtoj. Ikkinchi holatda VPNCredentialsHelper moduli Set-VpnConnectionUsernamePassword ni beradi va oddiy matnni xohlaydi: $cred.Password SecureString dir, shuning uchun avval uni GetNetworkCredential().Password bilan oching. Modulni buyruq ishlaydigan har joyga o'rnating, faqat yozilgan ish stantsiyasiga emas. EAP-TLS yoki maxsus usul bu cmdlet dan umuman foydalanmaydi; buning o'rniga EAP konfiguratsiyasi XML ini oladi.
rasdial "Office IKEv2" ulanishni shell dan ko'taradi va natijani voqea jurnalida emas, oldingi planda ko'rishning eng tez yo'li shu.
Ulangan tunnel nimani isbotlamaydi
Ulangan holat IKE almashinuvi va autentifikatsiya qadamini qoplaydi, undan ortiq emas. DNS xatti-harakati, xususiy hostga yo'l va uzoq firewall hali isbotlanmagan. Tashqariga qarab ishlang: tunnel adapteri, so'ngra xususiy manzil uchun marshrut qidiruvi, so'ngra foydalanishga ruxsatingiz bor bitta xizmat. Birinchi muvaffaqiyatsiz kuzatuv tekshirilishi kerak bo'lgan qatlamni ko'rsatadi.
Profilni o'zgartirganda, qayta yaratishdan oldin avvalgisini Remove-VpnConnection -Name "Office IKEv2" -Force bilan o'chiring; aks holda eski sozlamalar va marshrutlar tahrirdan keyin ham qoladi. Agar u hali ham ulanmasa, profilda qayd etilgan barmoq izini ombordagi bilan solishtiring, chunki Windows o'zgarmagan subyekt ostida o'sha orada almashtirilgan identifikatsiyaga havola saqlashi mumkin.
Barmoq izi, EAP usuli va marshrutlar ro'yxatini profil yonida saqlang. Birgalikda ular keyinroq noto'g'ri ketadigan narsalarning ko'pini tushuntiradi.