Windows-un daxili VPN-i satıcı SSL şlüzuna çatmır: səbəb

Windows ilə dörd tunel növü gəlir və satıcı SSL şlüzu onlardan biri deyil. Yenə də daxili profili onlardan birinə yönləndirin və bağlantı etimadnamə sorğusundan əvvəl kəsilir, adətən bağlantının yerli sistem tərəfindən sonlandırıldığı barədə mesajla. Bu mətn diaqnoz deyil, uyğunsuzluq siqnalıdır. Profil növü ilə protokola sahib olan müştəri uzlaşmalıdır, və onlardan biri yoxdur.

Dörd növ və bir dialoq

Hər saxlanmış profil bir tunel növü daşıyır. Daxili müştəri PPTP, L2TP, IKEv2 və SSTP qəbul edir, üstəlik onları sıra ilə sınayan avtomatik rejim. Ümumi SSL VPN girişi yoxdur və dialoq vasitəsilə onu əlavə etməyin yolu yoxdur. Satıcı şlüzu TLS üzərində öz tətbiq protokolunu danışır ki, onu yalnız həmin satıcının müştərisi tətbiq edir.

Siyahı bir əmr uzaqlıqdadır və hər hansı digər diaqnostikadan əvvəl onu işə salmağa dəyər, çünki bir saniyə çəkir və səhv fərziyyələrin bütöv bir sinfini aradan qaldırır:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Profil SSTP deyirsə və şlüz RRAS serveri deyilsə, uyğunsuzluq artıq müəyyən edilib. Nə sertifikat, nə də firewall işi bunu dəyişmir.

SSTP və satıcı TLS-i 443 portunda eyni görünür

SSTP PPP sessiyasını TLS-in içində bükür və TCP 443 üzərində gedir. Microsoft yığınında onu RRAS sonlandırır və müştərinin yoxladığı server sertifikatını təqdim edir. Fortinet, Citrix və ya Pulse cihazı da 443-də TLS-i sonlandırır və onun portalı istənilən brauzerdə şikayətsiz açılır.

Bu brauzer testi çatımlılığı sübut edir, uyğunluğu yox. Portalın arxasındakı sessiya protokolu satıcıya aiddir və daxili müştərinin onun heç bir tətbiqi yoxdur. Satıcının öz müştərisini təqdim edib-etməməsi uyğunsuzluğun hansı yarısı ilə məşğul olduğunuzu göstərir.

Əks qarışıqlıq da olur. Həqiqi RRAS serverinə qarşı SSTP kimi qurulmuş profil portal yaxşı olsa da sertifikat yoxlamasında uğursuz ola bilər, bu isə sertifikat problemi, protokol problemi deyil.

Tunel yaranmazdan əvvəl görünən xətalar

800 seriyalı kodlar hər hansı tunel qurulmadan əvvəl bildirilir, buna görə firewall qaydaları onları nadir hallarda dəyişir. Xəta 812 müştərinin təklif etdiyi autentifikasiya metodunu rədd edən server tərəfli siyasətdir. Aralıqdakı digərləri şəbəkədən deyil, yerli bağlantı menecerindən gəlir.

Hər hansı şeyi yenidən qurmazdan əvvəl izləməni açın. İzləmə uğursuz mərhələni adlandırır və mərhələ adı dialoq mətnindən daha dəyərlidir:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

İzləmələr izləmə qovluğuna düşür və siz onları təmizləyənə qədər qalır, ona görə sonra izləməni söndürün, həftələrlə işlək saxlamayın.

Bağlanmış profil də hər şeyi poza bilər

Bağlanan və sonra brauzeri, yerli paylaşımı və ya konteyner mühərrikini pozan profilin problemi tunel deyil, marşrut problemidir. Standart şlüz tunelə keçdi, buna görə hər təyinat indi onu marşrutlaşdırmaya bilən həmyaşıd vasitəsilə gedir.

Bunu iki nəzarət həll edir. Biri profildəki split tunneling xassəsidir. Digəri IPv4 qabaqcıl ayarlarında olan, uzaq şəbəkədə standart şlüzdən istifadə etmək üçün hər adapterə aid seçimdir.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Marşrutlar əlavə etmədən split tunneling-i açmaq, bağlanan və heç nəyə çatmayan tunel yaradır. DNS-i yoxlamadan onu söndürmək, adapterin öz şəkilçisi və serverləri istifadə olunmadığı üçün ümumi cavablara çevrilən daxili adlar yaradır.

Əvvəlcə boru xəttini, sonra növü yoxlayın

Bu ardıcıllıqla işləyin və hər şeyi eyni anda düzəltmək əvəzinə addım uğursuz olanda dayanın:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Birinci əmr çatımlılığı protokoldan ayırır. İkinci profilın nə olduğunu iddia etdiyini təsdiqləyir. Marşrut cədvəli tunelin standart marşrutu tutub-tutmadığını göstərir. Yığma əmri bağlantı menecerinin öz xətasını bildirir, hansı ki çox vaxt dialoqdan daha aydındır.

Tiketdə tunel növünü, şlüz məhsulunu və dəqiq xətanı qeyd edin. Növbəti şəxs bir dəqiqə ərzində bunun protokol uyğunsuzluğu, sertifikat uğursuzluğu yoxsa marşrut qərarı olduğunu bilir, “VPN işləmir” ifadəsindən başlamaq əvəzinə.