Ingeboude VPN in Windows bereik nie ’n verskaffer se SSL-gateway nie: hoekom

Vier tonneltipes kom saam met Windows, en ’n verskaffer se SSL-gateway is nie een van hulle nie. Wys ’n ingeboude profiel nietemin na so een, en die verbinding misluk voor die geloofsbriefvraag, gewoonlik met ’n boodskap dat die verbinding deur die plaaslike stelsel beëindig is. Daardie teks is ’n teken van wanpassing, nie ’n diagnose nie. Die profieltjie en die kliënt wat die protokol besit, moet ooreenstem, en een van hulle ontbreek.

Vier tipes en een dialoog

Elke gestoorde profiel dra ’n tonneltipe. Die ingeboude kliënt aanvaar PPTP, L2TP, IKEv2 en SSTP, plus ’n outomatiese modus wat hulle in volgorde probeer. Daar is geen algemene SSL VPN-inskrywing nie, en daar is geen manier om een deur die dialoog by te voeg nie. ’n Verskaffergateway praat sy eie toepassingsprotokol oor TLS, wat net daardie verskaffer se kliënt implementeer.

Die lys is een opdrag ver, en dit is die moeite werd om dit voor enige ander foutopsporing te hardloop, want dit neem ’n sekonde en verwyder ’n hele klas verkeerde aannames:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

As die profiel SSTP sê en die gateway is nie ’n RRAS-bediener nie, is die wanpassing reeds vasgestel. Geen hoeveelheid sertifikaat- of firewallwerk verander dit nie.

SSTP en verskaffer-TLS lyk dieselfde op poort 443

SSTP draai ’n PPP-sessie in TLS toe en ry op TCP 443. In die Microsoft-stapel word dit deur RRAS beëindig, wat ’n bedienersertifikaat voorhou wat die kliënt valideer. ’n Fortinet-, Citrix- of Pulse-toestel beëindig ook TLS op 443, en sy portaal open in enige blaaier sonder klagte.

Daardie blaaierstoets bewys bereikbaarheid, nie versoenbaarheid nie. Die sessieprotokol agter die portaal behoort aan die verskaffer, en die ingeboude kliënt het geen implementering daarvan nie. Of die verskaffer ’n eie kliënt lewer, sê vir jou watter helfte van die wanpassing jy hanteer.

Die omgekeerde verwarring gebeur ook. ’n Profiel wat as SSTP teen ’n egte RRAS-bediener opgestel is, kan op sertifikaatvalidering misluk terwyl die portaal heeltemal reg is, wat ’n sertifikaatprobleem is en nie ’n protokolprobleem nie.

Foute wat verskyn voordat ’n tonnel bestaan

Die 800-reeks kodes word gerapporteer voordat enige tonnel gevestig is, daarom beweeg firewallreëls hulle selde. Fout 812 is ’n bedienerkant-beleid wat die verifikasiemetode verwerp wat die kliënt aangebied het. Ander in die reeks kom van die plaaslike verbindingsbestuurder eerder as van die netwerk.

Skakel nasporing aan voordat jy enigiets herbou. Die nasporing noem die mislukte stadium, en ’n stadiumnaam is meer werd as die dialoogteks:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Naspore beland onder die nasporingsgids en bly daar tot jy hulle skoonmaak, so skakel nasporing daarna af eerder as om dit weke lank te laat loop.

’n Gekoppelde profiel kan steeds alles breek

’n Profiel wat koppel en dan blaaiery, ’n plaaslike deel of ’n houerenjin breek, het ’n roeteprobleem, nie ’n tonnelprobleem nie. Die verstek-gateway het na die tonnel geskuif, so elke bestemming gaan nou deur ’n eweknie wat dit dalk nie roeteer nie.

Twee beheermaatreëls besluit dit. Een is die split-tonnel-eienskap op die profiel. Die ander is die per-adapter-opsie om die verstek-gateway op die afgeleë netwerk te gebruik, wat onder die IPv4-gevorderde instellings sit.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Om split-tonnel aan te skakel sonder om roetes by te voeg, lewer ’n tonnel wat koppel en niks bereik nie. Om dit af te skakel sonder om DNS na te gaan, lewer interne name wat na publieke antwoorde oplos, omdat die adapter se eie agtervoegsel en bedieners nie gebruik word nie.

Verifieer die loodgieterswerk, dan die tipe

Werk in hierdie volgorde, en stop wanneer ’n stap misluk eerder as om alles gelyk aan te pas:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Die eerste opdrag skei bereikbaarheid van protokol. Die tweede bevestig wat die profiel voorgee om te wees. Die roetetabel wys of die tonnel die verstekroete gevang het. Die skakelopdrag rapporteer die verbindingsbestuurder se eie fout, wat dikwels duideliker is as die dialoog.

Teken die tonneltipe, die verskaffersproduk en die presiese fout in die kaartjie aan. Die volgende persoon weet dan binne ’n minuut of dit ’n protokolwanpassing, ’n sertifikaatfout of ’n roetebesluit is, in plaas daarvan om by “die VPN werk nie” te begin.