Watter RRAS-werfkoppelvlak kies ’n inkomende tonnel?

Op ’n Windows-bediener met verskeie werf-tot-werf-koppelvlakke is ’n konsol-etiket nie net ’n nota vir mense nie. RRAS gebruik ’n spesifieke veld uit die inkomende verbinding om te besluit watter logiese koppelvlak dit beantwoord, en daardie veld verander saam met die verifikasiemetode. Kry die sleutel verkeerd en jy sal koppelvlakke hernoem totdat iets per toeval koppel. Die keëlreël, die administratiewe toestand en die sessietoestand is drie afsonderlike feite, en net een van hulle gaan oor naamgewing.

Die mite: ’n hernoemde koppelvlak pas by enigiets

Die aanloklike oplossing wanneer ’n tak nie kan koppel nie, is om ’n werfkoppelvlak te skep of te hernoem totdat dit soos die oproeper lyk. Dit werk vir een verifikasiemetode en misluk stilweg vir die ander, en daarom word dieselfde prosedure met teenstrydige resultate rondgestuur. ’n Werfkoppelvlak is ’n logiese verbindingsobjek met sy eie bestemming, beskermde voorvoegsels en toestand. Dit is nie die fisiese adapter wat die versleutelde pakkette dra nie, so om na netwerkadapters te kyk sê vir jou niks oor watter werfobjek gekies is nie.

Keuse het ook niks te doen met gewone afstandstoegang-gebruikers nie. As werknemer-VPN-kliënte inbel, is hulle ’n ander rol, en hulle gebruikersname neem nooit aan hierdie kartering deel nie. Bevestig watter rol die oproeper het voordat jy enigiets in ’n bekende naam inlees.

Drie verifikasievorms, drie keusesleutels

Met ’n vooraf gedeelde sleutel word die gekonfigureerde bestemmingsadres van die koppelvlak teen die adres van die inkomende eweknie vergelyk. Die etiket kan enigiets wees, want die adres dra die besluit. Met gebruikersnaam-gebaseerde verifikasie word die koppelvlaknaam teen die gebruikersnaam wat die oproeper aanbied, vergelyk. Hier is die etiket die sleutel, en dit is presies waarom ’n hernoeming een werf kan laat werk en ’n ander kan breek.

Met sertifikate word die koppelvlaknaam teen die onderwerpnaam in die aangebode sertifikaat vergelyk. Die naam moet met daardie onderwerp ooreenstem, en ’n mooi etiket wat ’n operateur uitdink, sal nie werk nie.

Twee gevolge volg. In die vooraf gedeelde sleutel-reëling kan slegs een koppelvlak vir ’n gegewe bestemming geaktiveer wees, so twee takke wat een waargenome publieke adres deel, kan nie albei deur duplikaat-inskrywings bedien word nie. En watter metode jy ook al werklik gekonfigureer het, is die een wat geld, maak nie saak wat die konsole voorstel nie.

Geaktiveer is nie gekoppel nie

Administratiewe status sê of die logiese koppelvlak mag werk. Verbindingstoestand sê of daar nou ’n sessie bestaan. ’n Geaktiveerde koppelvlak sonder ’n sessie is ’n normale russtand vir ’n skakel wat op aanvraag inbel, en om dit as ’n fout aan te meld, laat mense ’n onderbreking jaag wat nie daar is nie.

Gebruik ’n genoemde opsoek of die gedokumenteerde routeringsdomein-opsoek, maar nie albei parameters saam nie, en voer dit in die bedoelde bedienerkonteks uit. As die koppelvlak wat jy verwag nie in die eerste lys voorkom nie, is die probleem stroomop van die toestand: niks is hoegenaamd gekies nie.

Lees die paar saam eerder as afsonderlik. ’n Skakel wat bedoel is om gevestig te bly en as ontkoppel wys, verdien ondersoek, terwyl ’n ledige skakel wat op aanvraag koppel, werk soos ontwerp. Intussen sal ’n administratief gedeaktiveerde koppelvlak donker bly, maak nie saak hoe dikwels die ander kant sy roeteerder herbegin nie.

Nie een van die twee waardes bewys dat verifikasie geslaag het, dat die onderhandelde beskerming ooreenstem, dat roetes geïnstalleer is, of dat die private toepassing toegelaat word nie. Dit is vier verskillende vrae met vier verskillende antwoorde.

Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionState

Lees die identiteitstransaksie voordat jy enigiets aktiveer

Wanneer ’n inkomende oproeper aan ’n koppelvlak gekarteer word wat jy nie verwag het nie, is die nuttige bewys die identiteit wat dit aangebied het, nie die lys van gedeaktiveerde koppelvlakke nie. Haal die onlangse afstandstoegang-gebeurtenisse en lees die oproeperadres, die verifikasie-uitkoms en die gekose koppelvlaknaam. ’n Gedeaktiveerde koppelvlak kan ’n doelbewus uitgefaseerde werf of ’n verbode vennoot wees. Om dit te aktiveer om te sien of een aanmeldfout verdwyn, is ’n konfigurasieverandering met routerings- en toegangsgevolge, so lei die besluit deur die eienaar van daardie werfverhouding, saam met sy bestemming, beskermde voorvoegsels en beleid.

As die kartering werklik verkeerd is, korrigeer die sleutel eerder as die simptoom: maak die sertifikaatonderwerp reg, of die koppelvlaknaam in die gebruikersnaam-geval, en maak die bestemming reg in die vooraf gedeelde sleutel-geval. Herkoppel dan een keer en bevestig dat dieselfde oproeper nou die bedoelde objek kies.

Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }

Sluit die lus met ’n toegelate bewerking

’n Groen toestand is nie aanvaarding nie. Sodra die regte koppelvlak gekies is, genereer verkeer wat die ontwerp toelaat, van ’n gasheer in een beskermde voorvoegsel na ’n gasheer in die ander, en bevestig dat die antwoord oor dieselfde pad terugkom. Voer dieselfde poging uit vanaf ’n gasheer wat geweier behoort te word, met behulp van Test-NetConnection -ComputerName 10.44.2.10 -Port 445 teen ’n diens wat die ontwerp uitsluit, en lees die afstandstoegang-gebeurtenisse weer. ’n Werfskakel wat meer as sy bedoelde voorvoegsels dra, of wat antwoord vir ’n diens wat die beleid uitsluit, is ’n routeringsfout wat geen hoeveelheid toestandkontrole sal onthul nie.

Teken die verifikasiemetode, die keusesleutel en die toegelate voorvoegsels saam in die werf se lopende handleiding aan. Die volgende ingenieur sal dieselfde tabel met drie waardes teëkom, en die naamkonvensie maak net sin sodra daardie konteks neergeskryf is.