VPN через CMD: настройка и управление подключениями из командной строки Windows

Зачем управлять VPN из командной строки

Графический интерфейс Windows для настройки VPN часто разбросан по нескольким разделам: часть параметров находится в «Параметрах», часть — в «Панели управления». Это усложняет ручную настройку и делает её практически непригодной для массового развёртывания. Командная строка и PowerShell решают эту проблему, позволяя создавать, изменять и удалять VPN-подключения одной командой.

Использование CMD особенно полезно для системных администраторов, которым нужно настроить десятки компьютеров. Вместо того чтобы инструктировать каждого пользователя по телефону, можно подготовить скрипт, который выполнит все действия автоматически. Это экономит время и снижает вероятность ошибок.

Кроме того, командная строка даёт полный контроль над параметрами подключения: тип туннеля, уровень шифрования, метод аутентификации, использование split tunneling и многое другое. Многие из этих параметров в графическом интерфейсе либо скрыты, либо требуют дополнительных действий.

Наконец, автоматизация через CMD позволяет интегрировать управление VPN в более сложные сценарии: подключение при запуске системы, переподключение при обрыве связи, настройка маршрутов и т.д. Всё это можно реализовать с помощью простых скриптов.

Основные команды CMD для работы с VPN

В Windows для управления VPN-подключениями из командной строки используются две основные команды: rasdial и netsh.

rasdial — это команда для установки и разрыва VPN-соединений. Она работает с уже созданными подключениями. Примеры:

• Подключение к VPN: rasdial "Имя_подключения" пользователь пароль
• Отключение: rasdial "Имя_подключения" /disconnect

netsh — более мощная утилита, которая позволяет не только подключаться, но и создавать, изменять и удалять VPN-профили. Например, чтобы добавить новый интерфейс VPN, используется команда:

netsh interface add interface name="Имя_интерфейса" type=ras

Однако для полноценной настройки параметров VPN (тип туннеля, шифрование, аутентификация) netsh часто недостаточно. В таких случаях лучше использовать PowerShell или специализированные утилиты, такие как SetVPN.

Важно помнить, что для выполнения команд, изменяющих системные настройки, может потребоваться запуск командной строки от имени администратора. Для этого в меню «Пуск» найдите «cmd», нажмите правой кнопкой мыши и выберите «Запуск от имени администратора».

Создание VPN-подключения через PowerShell

PowerShell предоставляет более гибкие возможности для управления VPN по сравнению с классическим CMD. Начиная с Windows 8 и Windows Server 2012, доступны специальные командлеты.

Для создания нового VPN-подключения используется командлет Add-VpnConnection. Обязательные параметры — имя подключения и адрес сервера. Однако для тонкой настройки доступно множество дополнительных параметров:

• -TunnelType — тип туннеля: Pptp, L2tp, Sstp, Ikev2, Automatic.
• -EncryptionLevel — уровень шифрования: NoEncryption, Optional, Required, Maximum.
• -AuthenticationMethod — метод проверки подлинности: Pap, Chap, MSChapv2, Eap, MachineCertificate.
• -L2tpPsk — предварительный общий ключ для L2TP.
• -SplitTunneling — включает раздельное туннелирование (не весь трафик идёт через VPN).
• -RememberCredential — запоминать учётные данные.
• -AllUserConnection — создать подключение для всех пользователей.

Пример создания PPTP-подключения:

Add-VpnConnection -Name "PPTP PS" -ServerAddress "192.168.3.107" -TunnelType "Pptp" -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -RememberCredential -SplitTunneling -PassThru

Для L2TP с общим ключом:

Add-VpnConnection -Name "L2TP PS" -ServerAddress "192.168.3.107" -TunnelType "L2tp" -L2tpPsk "MySharedKey" -Force -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential -PassThru

Обратите внимание на параметр -Force — он подавляет запрос подтверждения при передаче ключа в открытом виде.

Настройка SSTP и IKEv2 через PowerShell

SSTP и IKEv2 — более современные и безопасные протоколы по сравнению с PPTP. Их настройка через PowerShell имеет свои особенности.

SSTP требует, чтобы на компьютере был установлен корневой сертификат центра сертификации (CA), который выдал сертификат VPN-серверу. Адрес сервера должен совпадать с именем в сертификате (FQDN). Пример создания SSTP-подключения:

Add-VpnConnection -Name "SSTP PS" -ServerAddress "sstp.example.com" -TunnelType "Sstp" -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -RememberCredential -SplitTunneling -PassThru

IKEv2 часто использует аутентификацию по сертификатам. В этом случае необходимо импортировать сертификат CA и сертификат пользователя в хранилище компьютера. Команда создания:

Add-VpnConnection -Name "IKEv2 PS" -ServerAddress "vpn.example.com" -TunnelType "Ikev2" -EncryptionLevel "Required" -AuthenticationMethod MachineCertificate -SplitTunneling -PassThru

Здесь метод аутентификации MachineCertificate означает, что используется сертификат компьютера, и ввод учётных данных не требуется. Это удобно для автоматизации, но требует правильной настройки сертификатов.

Управление существующими подключениями: изменение, просмотр, удаление

PowerShell позволяет не только создавать, но и изменять, просматривать и удалять VPN-подключения.

Изменение параметров выполняется командлетом Set-VpnConnection. Он использует те же параметры, что и Add-VpnConnection. Например, чтобы изменить адрес сервера:

Set-VpnConnection -Name "PPTP PS" -ServerAddress "vpn.newserver.com"

Важно: для булевых параметров (например, RememberCredential) необходимо явно указывать значение $True или $False, иначе команда выдаст ошибку.

Просмотр информации о подключениях:

• Все подключения: Get-VpnConnection
• Конкретное подключение: Get-VpnConnection -Name "PPTP PS"

Удаление подключения:

Remove-VpnConnection -Name "PPTP PS"

При использовании параметра -Force запрос подтверждения не выводится. Рекомендуется использовать -Force только в скриптах, где вы точно уверены в имени удаляемого подключения.

Автоматизация подключения и отключения VPN с помощью скриптов

Одно из главных преимуществ командной строки — возможность автоматизации. Вы можете создать скрипт, который будет подключаться к VPN при запуске системы или по расписанию.

Windows: создайте файл с расширением .bat или .cmd, содержащий команду rasdial или PowerShell-командлет. Например:

powershell -executionpolicy bypass -command "Add-VpnConnection -Name 'L2TP PS2' -ServerAddress '192.168.3.107' -TunnelType 'L2tp' -L2tpPsk 'MySharedKey' -Force -EncryptionLevel 'Required' -AuthenticationMethod MSChapv2 -SplitTunneling -RememberCredential"

Затем поместите файл в автозагрузку или настройте задачу в Планировщике задач Windows с триггером «при входе в систему».

Linux: используйте nmcli для управления VPN-подключениями. Пример скрипта для подключения:

#!/bin/bash
nmcli connection up id "Имя_VPN"

Для отключения:

#!/bin/bash
nmcli connection down id "Имя_VPN"

Не забудьте сделать скрипт исполняемым: chmod +x script.sh.

Для автоматического запуска при старте системы в Linux можно использовать systemd-сервис или добавить скрипт в автозагрузку.

Использование утилиты SetVPN для создания VPN из командной строки

SetVPN — это сторонняя утилита, которая позволяет создавать VPN-подключения в Windows из командной строки. Она поддерживает Windows 7, 8, 10, 11, а также Windows XP (с ограничениями).

Основные ключи:

• /add — добавить новое соединение. Если соединение с таким именем уже существует, выдаётся ошибка.
• /add /force — удалить существующее и создать заново.
• /delete — удалить соединение.
• /list — вывести список соединений.
• /name="имя" — задать имя соединения.
• /servername="адрес" — адрес VPN-сервера (IPv4, IPv6 или домен).
• /username="логин" и /password="пароль" — учётные данные.

Пример создания PPTP-подключения:

setvpn /name="test1" /add /servername="192.168.192.1" /username="aaa" /password="bbb" /disableip6 /onlyip /mschap2 /chap /reconnect

Для L2TP с PSK:

setvpn /name="test2" /add /force /servername="192.168.192.1" /username="aaa" /password="bbb" /disableip6 /onlyip /mschap2 /reconnect /vs_L2tpOnly /UsePSK="psk" /CredsForAll

Утилита позволяет задавать множество параметров: тип туннеля, шифрование, протоколы аутентификации, DNS, метрику и другие. Это удобно для быстрого создания подключений без необходимости писать сложные PowerShell-скрипты.

Добавление маршрутов для VPN-подключения

Иногда требуется, чтобы через VPN проходил только трафик к определённым сетям, а не весь интернет. Это называется раздельным туннелированием (split tunneling). В Windows для этого можно использовать командлет Add-VpnConnectionRoute.

Пример добавления маршрута к сети 192.168.111.0/24 через подключение L2TP PS:

Add-VpnConnectionRoute -ConnectionName "L2TP PS" -DestinationPrefix 192.168.111.0/24 -PassThru

Если нужно добавить несколько маршрутов, команда выполняется несколько раз. Для удаления маршрута используется Remove-VpnConnectionRoute с тем же синтаксисом.

Этот подход особенно полезен, когда VPN используется для доступа к корпоративным ресурсам, а остальной интернет-трафик должен идти через обычное подключение. Это снижает нагрузку на VPN-сервер и повышает скорость доступа к локальным сайтам.

Безопасность и рекомендации при использовании командной строки

При работе с VPN через командную строку важно соблюдать меры безопасности.

• Не храните пароли в открытом виде в скриптах. Если скрипт с паролем попадёт в чужие руки, злоумышленник сможет подключиться к вашей VPN. Используйте переменные окружения или защищённые хранилища.
• Используйте современные протоколы. PPTP считается устаревшим и небезопасным. Отдавайте предпочтение IKEv2, SSTP или L2TP/IPsec.
• Проверяйте сертификаты. При использовании SSTP и IKEv2 убедитесь, что сертификаты действительны и выданы доверенным центром.
• Ограничьте права запуска скриптов. Запускайте скрипты с минимально необходимыми правами. Не используйте учётную запись администратора без необходимости.
• Регулярно обновляйте систему и VPN-клиент. Это поможет защититься от известных уязвимостей.

Также рекомендуется использовать параметр -SplitTunneling, если вам не нужно направлять весь трафик через VPN. Это снижает риск перехвата данных и увеличивает скорость.

Часто задаваемые вопросы

В этом разделе собраны ответы на распространённые вопросы о настройке VPN через командную строку.

Вопросы и ответы