Команды VPN подключения в Windows: полное руководство по PowerShell

Зачем управлять VPN через PowerShell

Встроенный графический интерфейс Windows для настройки VPN-подключений разбросан по нескольким разделам: часть параметров находится в современном приложении «Параметры», другая — в классической панели управления. Это создаёт путаницу и затрудняет тонкую настройку, особенно когда нужно задать специфические параметры туннеля, аутентификации или шифрования.

PowerShell предлагает единый набор командлетов, который охватывает все аспекты управления VPN: от создания и изменения подключений до добавления маршрутов и автоматизации процессов. Это особенно полезно для системных администраторов, которым приходится настраивать VPN на множестве компьютеров, а также для продвинутых пользователей, желающих автоматизировать рутинные задачи.

Использование команд вместо кликов по интерфейсу экономит время, снижает риск ошибок и позволяет создавать скрипты, которые можно запускать на разных машинах. Например, один и тот же набор команд может развернуть одинаковые VPN-профили на сотнях компьютеров в домене.

Основные командлеты для работы с VPN

В PowerShell для управления VPN-подключениями предусмотрен набор специализированных командлетов, доступных начиная с Windows 8 и Windows Server 2012. Вот основные из них:

• Add-VpnConnection — создаёт новое VPN-подключение.
• Set-VpnConnection — изменяет параметры существующего подключения.
• Get-VpnConnection — выводит информацию о подключениях.
• Remove-VpnConnection — удаляет подключение.
• Add-VpnConnectionRoute — добавляет маршрут, который активируется при подключении.
• Remove-VpnConnectionRoute — удаляет маршрут.
• Set-VpnConnectionIpsecConfiguration — настраивает параметры IPsec для IKEv2 и L2TP.

Эти командлеты работают как в интерактивном режиме, так и внутри скриптов, что делает их универсальным инструментом для администрирования. Например, команда Get-VpnConnection без параметров выводит список всех доступных пользователю подключений, а с параметром -Name — информацию о конкретном.

Для подключения к уже настроенному VPN-серверу можно использовать классическую команду rasdial, которая принимает имя подключения в качестве аргумента. Это удобно для быстрого соединения из командной строки или пакетного файла.

Создание VPN-подключения: базовый синтаксис

Командлет Add-VpnConnection требует минимум два параметра: -Name (имя подключения) и -ServerAddress (адрес VPN-сервера, IP или FQDN). Простейшая команда выглядит так:

Add-VpnConnection -Name "WorkVPN" -ServerAddress "vpn.example.com" -PassThru

Параметр -PassThru выводит на экран свойства созданного подключения, что полезно для проверки результата. Без него команда не выдаёт никакого вывода.

Однако в реальных сценариях обычно требуется задать дополнительные параметры, такие как тип туннеля, метод аутентификации, уровень шифрования и другие. Рассмотрим их подробнее в следующем разделе.

Важно помнить, что при создании подключения с параметром -AllUserConnection оно становится доступным для всех пользователей компьютера и сохраняется в файле rasphone.pbk в папке %ProgramData%\Microsoft\Network\connections\Pbk. Такие подключения отображаются в панели управления с владельцем System.

Параметры настройки VPN-подключения

Командлет Add-VpnConnection поддерживает множество параметров, позволяющих гибко настроить подключение под конкретные требования. Вот наиболее важные из них:

• TunnelType — определяет тип VPN-туннеля. Допустимые значения: Automatic, Ikev2, Pptp, L2tp, Sstp. При значении Automatic Windows сама пытается определить подходящий тип.
• AuthenticationMethod — метод проверки подлинности: Pap, Chap, MSChapv2, Eap, MachineCertificate. Для современных протоколов рекомендуется MSChapv2 или MachineCertificate.
• EncryptionLevel — уровень шифрования: NoEncryption, Optional, Required, Maximum, Custom. Для защиты данных следует использовать Required или Maximum.
• L2tpPsk — предварительный общий ключ для L2TP/IPsec. Используется только с типом туннеля L2tp.
• SplitTunneling — логический параметр, определяющий, будет ли весь трафик направляться в VPN-туннель. При значении $True в туннель идёт только трафик для удалённой сети, что позволяет экономить трафик и сохранять доступ к локальным ресурсам.
• RememberCredential — разрешает сохранять учётные данные (имя пользователя и пароль) в диспетчере учётных данных Windows после первого успешного подключения.
• UseWinlogonCredential — использовать учётные данные текущего пользователя Windows для аутентификации на VPN-сервере.
• AllUserConnection — создать подключение для всех пользователей компьютера.
• PassThru — выводить результат выполнения команды.
• Force — подавлять запросы подтверждения и некритичные ошибки.

Эти параметры можно комбинировать в одной команде, что позволяет создавать подключения с нужными характеристиками за один вызов.

Примеры создания разных типов VPN

Рассмотрим практические примеры создания VPN-подключений для каждого из основных протоколов.

PPTP — устаревший, но быстрый протокол. Для него рекомендуется использовать аутентификацию MS-CHAP v2 и уровень шифрования Required:

Add-VpnConnection -Name "PPTP VPN" -ServerAddress "vpn.example.com" -TunnelType "Pptp" -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential -PassThru

L2TP/IPsec — более безопасный вариант, часто используемый с общим ключом. Пример с ключом MySharedKey:

Add-VpnConnection -Name "L2TP VPN" -ServerAddress "vpn.example.com" -TunnelType "L2tp" -L2tpPsk "MySharedKey" -Force -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential -PassThru

Обратите внимание на параметр -Force: он подавляет предупреждение о передаче общего ключа в открытом виде.

SSTP — протокол, использующий SSL/TLS. Требует, чтобы корневой сертификат CA был импортирован в хранилище доверенных корневых сертификатов, а адрес сервера совпадал с именем в сертификате (FQDN):

Add-VpnConnection -Name "SSTP VPN" -ServerAddress "sstp.example.com" -TunnelType "Sstp" -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -RememberCredential -SplitTunneling -PassThru

IKEv2 — современный протокол с аутентификацией по сертификатам. Перед созданием подключения необходимо импортировать сертификат CA и клиентский сертификат в хранилище компьютера:

Import-Certificate -FilePath "C:\certs\ca.cer" -CertStoreLocation Cert:\LocalMachine\Root
Import-PfxCertificate -FilePath "C:\certs\client.pfx" -CertStoreLocation Cert:\LocalMachine\My -Password (ConvertTo-SecureString "password" -AsPlainText -Force)
Add-VpnConnection -Name "IKEv2 VPN" -ServerAddress "vpn.example.com" -TunnelType "Ikev2" -EncryptionLevel "Maximum" -AuthenticationMethod MachineCertificate -SplitTunneling $True -PassThru

В этом случае параметр RememberCredential не нужен, так как аутентификация выполняется по сертификату.

Изменение и удаление VPN-подключений

Для изменения параметров существующего подключения используется командлет Set-VpnConnection. Он принимает те же параметры, что и Add-VpnConnection, но требует указать имя подключения через параметр -Name. Например, чтобы изменить адрес сервера:

Set-VpnConnection -Name "PPTP VPN" -ServerAddress "new-server.example.com"

Важное отличие от Add-VpnConnection заключается в работе с логическими параметрами. Если в Add-VpnConnection достаточно указать параметр без значения (он автоматически становится $True), то в Set-VpnConnection значение нужно задавать явно. Например, чтобы включить запоминание учётных данных:

Set-VpnConnection -Name "PPTP VPN" -RememberCredential $True

А чтобы отключить — $False. Это же касается SplitTunneling и других булевых параметров.

Для удаления подключения используется командлет Remove-VpnConnection:

Remove-VpnConnection -Name "PPTP VPN"

По умолчанию команда запрашивает подтверждение. Чтобы удалить без запроса, добавьте параметр -Force, но делайте это осторожно, чтобы не удалить не то подключение.

Также можно изменить параметры IPsec для IKEv2 и L2TP с помощью Set-VpnConnectionIpsecConfiguration. Например, задать алгоритмы шифрования и целостности:

Set-VpnConnectionIPsecConfiguration -ConnectionName "IKEv2 VPN" -AuthenticationTransformConstants SHA256128 -CipherTransformConstants AES256 -DHGroup Group14 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -PfsGroup PFS2048 -PassThru

Управление маршрутами и автоматизация

Одной из частых проблем при работе с VPN является необходимость добавления маршрутов для доступа к удалённым сетям. PowerShell позволяет автоматически добавлять маршруты при установлении VPN-соединения с помощью командлета Add-VpnConnectionRoute:

Add-VpnConnectionRoute -ConnectionName "L2TP VPN" -DestinationPrefix 192.168.111.0/24 -PassThru

Этот маршрут будет активирован только после успешного подключения к VPN-серверу. Если нужно добавить несколько маршрутов, команда выполняется несколько раз. Для удаления маршрута используется Remove-VpnConnectionRoute с тем же синтаксисом.

Для автоматизации создания VPN-подключений на компьютерах пользователей можно использовать пакетные файлы (.bat или .cmd), которые вызывают PowerShell. Например, следующий командный файл создаёт подключение и добавляет маршрут:

powershell -executionpolicy bypass -command "Add-VpnConnection -Name 'L2TP VPN' -ServerAddress '192.168.3.107' -TunnelType 'L2tp' -L2tpPsk 'MySharedKey' -Force -EncryptionLevel 'Required' -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential"
powershell -executionpolicy bypass -command "Add-VpnConnectionRoute -ConnectionName 'L2TP VPN' -DestinationPrefix 192.168.111.101/32"

Обратите внимание, что внешние кавычки двойные, а внутренние — одинарные. Такой файл можно запускать без прав администратора, и он не требует дополнительных действий от пользователя.

Решение распространённых проблем

При работе с VPN-подключениями через PowerShell могут возникать типичные ошибки. Рассмотрим несколько ситуаций.

Проблема с выбором сертификата для IKEv2. Если на компьютере установлено несколько клиентских сертификатов, Windows может выбрать неподходящий, что приведёт к ошибке подключения. В этом случае можно использовать параметр -MachineCertificateIssuerFilter в командах Add-VpnConnection или Set-VpnConnection, чтобы указать издателя сертификата (CA). Однако этот параметр не позволяет выбрать конкретный клиентский сертификат, если их несколько от одного CA.

Ошибка при создании L2TP-подключения с ключом, содержащим специальные символы. Если в предварительном общем ключе есть символ $, его необходимо экранировать обратным апострофом (` `), иначе PowerShell интерпретирует его как переменную. Например, вместо MyPSKpas$word нужно писать MyPSKpas$word.

Проблемы с сохранением учётных данных. Стандартный параметр -RememberCredential сохраняет учётные данные только после первого успешного подключения. Если нужно задать их принудительно, можно использовать модуль VPNCredentialsHelper из PowerShell Gallery:

Install-Module -Name VPNCredentialsHelper
Set-VpnConnectionUsernamePassword -connectionname "SSTP VPN" -username "user" -password "pass"

Однако, судя по отзывам, этот модуль может работать нестабильно, поэтому стоит проверять его в своей среде.

Отсутствие доступа в Интернет при активном VPN. Часто это связано с тем, что весь трафик направляется в туннель. Решение — включить раздельное туннелирование с помощью параметра -SplitTunneling $True.

Проверка состояния и диагностика

Чтобы убедиться, что VPN-подключение работает корректно, можно использовать командлет Get-VpnConnection для просмотра статуса. Например, следующая команда выводит имя и статус всех подключений:

Get-VpnConnection | Select Name, ConnectionStatus

Статус может быть Connected, Disconnected или Connecting. Для подключения к VPN-серверу из командной строки используется команда rasdial:

rasdial "SSTP VPN"

Для отключения — rasdial "SSTP VPN" /disconnect.

Если возникают проблемы с подключением, полезно проверить журналы событий Windows, а также убедиться, что сервер VPN доступен по сети. Для диагностики можно использовать стандартные сетевые утилиты, такие как ping и Test-NetConnection.

Также стоит помнить, что некоторые протоколы (например, PPTP) могут блокироваться межсетевыми экранами или провайдерами, поэтому при невозможности подключения стоит попробовать другой тип туннеля.

Вопросы и ответы