In Teil 1 dieser Serie habe ich die Infrastruktur für mein Always On VPN-Lab vorgestellt. Anschließend habe ich in Teil 2 die automatische Registrierung der Computer- und VPN Benutzerzertifikate mittels Gruppenrichtlinien konfiguriert, die empfohlenen AD-Gruppen und Zertifikatsvorlagen erstellt. Das Zertifikat für NPS Serverauthentifizierung, das IKEv2-Zertifikat und das SSL-Zertifikat für SSTP am VPN Server habe ich in Teil 3  installiert. In Teil 4 habe ich den Remote Access Server für Always on VPN installiert und konfiguriert. Die Konfiguration des NPS Servers kann man in Teil 5 nachlesen. In Teil 6 habe ich auf CLIENT01 eine VPN-Verbindung mit dem Namen Template erstellt. Aufgrund dieser Vorlage werde ich jetzt das Always On VPN – VPN-Profil erstellen.

VPN_Profile.xml  und VPN_Profile.ps1 erstellen

Hinweis: Wie in der Microsoft Dokumentation geschrieben steht, muss die Verbindung mindestens einmal hergestellt worden sein, damit alle Werte verfügbar sind.CLIENT01 befindet sich wieder im Unternehmensnetzwerk (192.168.100.0/24). USER01 ist in der lokalen Administratoren-Gruppe von CLIENT01. MakeProfile.ps1 ist hier zu finden. Die Verbindung zu CLIENT01 darf nicht in der erweiterten Sitzung stattfinden.

1. Lokal als USER01 an CLIENT01 anmelden
2. Den Ordner C:\Temp und das PowerShell-Script MakeProfile.ps1 erstellen
3. Im Script sind folgende Anpassungen notwendig:

$TemplateName = 'Template'
$ProfileName = 'UserTunnel'
$Servers = 'vpn.einfaches-netzwerk.at'
$DnsSuffix = 'intern.einfaches-netzwerk.at'
$DomainName = '.intern.einfaches-netwzerk.at'
$DNSServers = '192.168.100.1'
$TrustedNetwork = 'intern.einfaches-netzwerk.at'

1. Außerdem möchte ich den gesamten VPN-Verkehr durch den Tunnel schicken. Also muss ich statt SplitTunnel > ForceTunnel angeben. Diese Einstellung befindet sich bei mir in Zeile 32 von MakeProfile.ps1:
   1. Von <RoutingPolicyType>SplitTunnel</RoutingPolicyType> nach <RoutingPolicyType>ForceTunnel</RoutingPolicyType> ändern
      
2. Datei speichern und schließen
3. Noch einmal sicherstellen, dass die erweiterte Sitzung nicht aktiv ist
4. PowerShell als Administrator öffnen
5. Mit folgendem Befehl das VPN-Profil erstellen

   . C:\Temp\MakeProfile.ps1

6. Am Desktop werden folgende Dateien erstellt
   1. VPN_Profile.xml
   2. VPN_Profile.ps1
   3. Diese Dateien nach C:\Temp kopieren
7. Mit folgendem Befehl das bestehende VPN-Profil löschen

   Get-VpnConnection -Name 'Template' | Remove-VpnConnection -Force

8. Mit folgendem Befehl das Script VPN_Profile.ps1 ausführen:

   . C:\Temp\VPN_Profile.ps1

9. Das VPN-Profil wurde erfolgreich erstellt
   
10. PowerShell schließen
11. CLIENT01 vom internen Netz ins externe verschieben
12. Sofort wird die VPN-Verbindung aufgebaut
    
13. PowerShell: SplitTunneling ist deaktiviert > ForceTunneling
    
14. CLIENT01 wieder ins interne Netz verschieben > die Verbindung wird sofort wieder abgebaut

In diesem Teil habe ich das Script MakeProfile.ps1 nach C:\Temp auf CLIENT01 kopiert und das VPN_Profile erstellt. Im Anschluss habe ich das VPN-Profil ‚Template‘ gelöscht und das neue Profil installiert. Unmittelbar nach dem Verschieben von CLIENT01 ins Internet wird die Verbindung sofort aufgebaut. Fehlt jetzt noch der Maschinen-Tunnel, welcher vor dem Benutzer-Tunnel aufgebaut werden soll.

Danke für´s Lesen!