Windows NAT-T qeyd dəyəri: əvvəlcə topologiyaya baxın

Windows VPN bağlantısı uğursuz olur, axtarış bir qeyd dəyəri göstərir və dəyər yenidən başlatma ilə tətbiq edilir. Bu ardıcıllıq bəzən işləyir və heç nə izah etmir. Sözügedən parametr serverin NAT cihazına nisbətən harada olduğuna dair bir suala cavab verir və hansı protokolun hansı mərhələdə uğursuz olduğunu bilməyincə mənasızdır.

Dəyər əslində nəyi seçir

AssumeUDPEncapsulationContextOnSendRule Windows IPsec tətbiqinin NAT cihazı arxasındakı həmyaşıdla assosiasiya qurmağa cəhd edib-etməyəcəyini müəyyən edir. Sənədləşdirilmiş defolt 0 bu hala icazə vermir, 1 server NAT-ın arxasındakı tərəf olduqda icazə verir, 2 isə hər iki ucun çevrildiyi halı əhatə edir. Bunlar kimin harada olduğuna dair topologiya ifadələridir.

Ardıcıllıq kimi oxunduqda rəqəmlər getdikcə daha çox etibarlılıq deyil, getdikcə daha çox çevrilmə təsvir edir. Heç nəyin çevrilmədiyi şəbəkədə 2 təyin etmək bağlantını daha sürətli və ya sabit etmir və autentifikasiya xətasını düzəltmir. Microsoft-un L2TP/IPsec üçün NAT təlimatı siyasəti və onun tarixi platforma kontekstini sənədləşdirir. Bu konteksti həqiqətən işlətdiyiniz Windows versiyası və rolu ilə tutuşdurun, çünki bir neçə buraxılışı yaşamış sənəd hər cari buraxılış haqqında bəyanat deyil.

Rəqəmdən əvvəl topologiyanı uyğunlaşdırın

Yolu çəkin və çevrilmə nöqtələrini işarələyin: müştəri ev routerinin arxasındadır, server yük balanslaşdırıcısının və ya ünvanları yenidən yazan firewall-un arxasındadır, və ya uclardan biri nəzarət etmədiyiniz operator çevrilməsinin arxasındadır. Yalnız bu rəsmi çəkdikdən sonra dəyərin tətbiq olunub-olunmadığını və hansı uc üçün olduğunu qərar verə bilərsiniz.

Cari Windows Server versiyalarının sadəcə NAT traversal söndürülmüş halda gəldiyi iddiası hərəkət üçün çox genişdir. Vacib olan sisteminizdəki siyasət, onun qarşısındakı topologiya və uğursuz olan mübadilədir, bu sıra ilə. Əgər hər iki ucun ünvanı ictimaidirsə, parametr sizin probleminiz deyil. Bunun yerinə təklifə, sertifikata və ya hesaba baxın və qeydiyyatı tək buraxın.

Əvvəlcə uğursuzluq mərhələsini yoxlayın

L2TP/IPsec ən azı üç fərqli uğursuzluq yaradır: həmyaşıd əlçatmazdır, IPsec mühafizəsi qurula bilmir və tunel mövcud olduqdan sonra PPP istifadəçi autentifikasiyası rədd edilir. Rədd edilmiş hesab NAT siyasətini dəyişməklə düzəldilə bilməz və təklif uyğunsuzluğu yenidən başlatma ilə düzəldilə bilməz.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Cavab verən olmayan taymaut siyasətdən çox əlçatanlığa və ya filtrləməyə işarə edir. Təklif mesajı ilə sürətli rədd alqoritmlərə işarə edir. Tunel qurulduqdan sonra baş verən uğursuzluq autentifikasiya mərhələsinə aiddir, bu başqa sahib və başqa düzəlişdir.

HTTPS üzərindən SSTP və doğma IKEv2 öz loglarına və öz nəzarətlərinə malikdir. Onların Windows-da da işləməsi heç birini NAT-traversal halına çevirmir.

Dəyişikliyi geri dönüş yolu ilə edin

Sənədləşdirilmiş siyasət və müşahidə edilən topologiya birlikdə bunu tələb edirsə, əvvəlki dəyəri qeyd edin, dəyişikliyi profil-üzrə skript əvəzinə idarə olunan konfiqurasiya ilə tətbiq edin və yenidən başlatmanı planlaşdırın. Digər iş yüklərini dəstəkləyən serverdə bu zərərsiz düzəliş deyil.

NAT cihazı hələ də inkapsulyasiya edilmiş nəqliyyatı və qayıdış trafikini daşımalıdır. Qeyd dəyəri yönləndirmə qaydası yaratmır, təklifləri uyğunlaşdırmır və heç bir kimliyi təsdiqləmir, ona görə də dəyişiklikdən sonra işləməyə başlayan bağlantı tamamilə başqa səbəbdən işləyə bilər. Orijinal protokolu orijinal topologiya ilə yenidən sınaqdan keçirin, sonra hansı mərhələnin uğursuz olduğunu və dəyərin niyə onu həll etməsi gözlənildiyini yazın. Bu cümlə internet şaiyəsini müdafiə edə biləcəyiniz konfiqurasiyaya çevirir.