لماذا لا تستطيع شبكة VPN المدمجة في Windows الوصول إلى بوابة SSL تابعة لمورّد

تأتي أربعة أنواع من الأنفاق مع Windows، وبوابة SSL تابعة لمورّد ليست أحدها. وجّه ملفًا شخصيًا مدمجًا إلى واحدة منها على أي حال، وسيفشل الاتصال قبل مطالبة بيانات الاعتماد، عادةً برسالة تقول إن الاتصال أُنهي بواسطة النظام المحلي. هذا النص إشارة إلى عدم التوافق وليس تشخيصًا. يجب أن يتوافق نوع الملف الشخصي مع العميل الذي يملك البروتوكول، وأحدهما مفقود.

أربعة أنواع ونافذة حوار واحدة

يحمل كل ملف شخصي محفوظ نوع نفق. يقبل العميل المدمج PPTP وL2TP وIKEv2 و SSTP، إضافة إلى وضع تلقائي يجرّبها بالترتيب. لا يوجد إدخال عام لـSSL VPN، ولا توجد طريقة لإضافة واحد عبر نافذة الحوار. تتحدث بوابة المورّد بروتوكول تطبيق خاصًا بها فوق TLS، ولا ينفّذه إلا عميل ذلك المورّد.

القائمة على بُعد أمر واحد، ويستحق تشغيلها قبل أي استكشاف أخطاء آخر لأنها تستغرق ثانية وتزيل فئة كاملة من الافتراضات الخاطئة:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

إذا قال الملف الشخصي SSTP ولم تكن البوابة خادم RRAS، فعدم التوافق قائم بالفعل. ولا يغيّره أي قدر من العمل على الشهادات أو جدار الحماية.

SSTP وTLS الخاص بالمورّد متشابهان على المنفذ 443

يغلّف SSTP جلسة PPP داخل TLS ويسير على TCP 443. في حزمة Microsoft يُنهيه RRAS، الذي يقدّم شهادة خادم يتحقق منها العميل. كما يُنهي جهاز Fortinet أو Citrix أو Pulse اتصال TLS على 443، وتُفتح بوابته في أي متصفح دون شكوى.

اختبار المتصفح ذلك يثبت إمكانية الوصول لا التوافق. بروتوكول الجلسة خلف البوابة ملك للمورّد، والعميل المدمج لا يملك أي تنفيذ له. ومعرفة ما إذا كان المورّد يوفّر عميلًا خاصًا به تخبرك بأي نصف من عدم التوافق تتعامل معه.

يحدث الالتباس العكسي أيضًا. ملف شخصي مُهيّأ كـSSTP أمام خادم RRAS حقيقي قد يفشل في التحقق من الشهادة بينما البوابة سليمة، وهذه مشكلة شهادة لا مشكلة بروتوكول.

أخطاء تظهر قبل وجود النفق

تُبلَّغ رموز السلسلة 800 قبل إنشاء أي نفق، ولهذا نادرًا ما تغيّرها قواعد جدار الحماية. الخطأ 812 سياسة من جانب الخادم ترفض طريقة المصادقة التي عرضها العميل. أما غيرها في النطاق فيأتي من مدير الاتصال المحلي لا من الشبكة.

شغّل التتبّع قبل إعادة بناء أي شيء. يسمّي التتبّع المرحلة الفاشلة، واسم المرحلة أثمن من نص نافذة الحوار:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

ينتهي التتبّع تحت مجلّد التتبّع ويبقى حتى تمسحه، لذا عطّل التتبّع بعد ذلك بدلًا من تركه يعمل أسابيع.

قد يظل ملف شخصي متصل يخرّب كل شيء

الملف الشخصي الذي يتصل ثم يخرّب التصفّح أو مشاركة محلية أو محرّك حاويات لديه مشكلة توجيه لا مشكلة نفق. انتقلت البوابة الافتراضية إلى النفق، فأصبحت كل وجهة تمرّ عبر نظير قد لا يوجّهها.

يتحكم في هذا أمران. أحدهما خاصية النفق المنقسم على الملف الشخصي. والآخر هو خيار كل محوّل لاستخدام البوابة الافتراضية على الشبكة البعيدة، وهو موجود ضمن إعدادات IPv4 المتقدمة.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

تشغيل النفق المنقسم دون إضافة مسارات ينتج نفقًا يتصل ولا يصل إلى شيء. وإيقافه دون فحص DNS ينتج أسماء داخلية تُحلّ إلى إجابات عامة، لأن لاحقة المحوّل وخوادمه لا تُستخدم.

تحقّق من التمديدات أولًا ثم من النوع

اعمل بهذا الترتيب، وتوقّف عندما تفشل خطوة بدلًا من تعديل كل شيء دفعة واحدة:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

الأمر الأول يفصل إمكانية الوصول عن البروتوكول. والثاني يؤكد ما يدّعيه الملف الشخصي. ويُظهر جدول المسارات ما إذا كان النفق قد التقط المسار الافتراضي. ويبلّغ أمر الاتصال خطأ مدير الاتصال نفسه، وهو غالبًا أوضح من نافذة الحوار.

سجّل نوع النفق ومنتج البوابة والخطأ الدقيق في التذكرة. يعرف الشخص التالي خلال دقيقة ما إذا كانت المسألة عدم توافق بروتوكول أو فشل شهادة أو قرار توجيه، بدلًا من البدء بـ“شبكة VPN لا تعمل”.