FortiClient застывае на 98%: адключыце IPv6 на гэтым адаптары

Шкала дасягае 98%, кліент стаіць на месцы, і паўторны ўвод пароля нічога не змяняе. Вось карысная падказка: кліент ужо прыняў сертыфікат шлюза, адправіў уліковыя даныя і атрымаў канфігурацыю тунеля. Застаецца падняць віртуальны адаптар і пераканацца, што тунель перадае трафік. Калі гэты апошні крок ніколі не завяршаецца, няспраўнасць лакальная, і ніякая колькасць паўторнага ўводу ўліковых даных да яе не дастае.

Чатыры крокі, і першы — чытаць журнал, а не шкалу.

Што насамрэч паказвае лічыльнік 98%

Працэнт — гэта ўласны лічыльнік этапаў кліента, а не паказчык прапускной здольнасці. Затрымка на адным і тым жа ліку пры кожнай спробе азначае, што кліент дасягае пэўнага этапа і чакае; менавіта таму павольнае злучэнне і застылы кліент выглядаюць у журнале па-рознаму. Праблема з уліковымі данымі надрукавала б памылку ўліковых даных замест ціхай паузы.

Fortinet апісаў гэты сімптом супраць адной прычыны на баку кліента: уключаны IPv6 на адаптары, які выкарыстоўвае кліент. Таму налада адаптара — першае, што трэба праверыць, а не ўніверсальнае тлумачэнне кожнай SSL-VPN затрымкі.

Крок 1: чытайце журнал раней за шкалу

Перш чым нешта змяняць, захавайце радкі непасрэдна перад затрымкай. Вы шукаеце, ці быў створаны адаптар тунеля, ці быў прызначаны адрас і ці кліент перастаў чакаць сямейства адрасоў. Затрымка на іншым працэнце — гэта іншы этап са сваёй дыягностыкай, а папярэджанне аб сертыфікаце ці няправільны адрас шлюза дае ўласнае паведамленне замест ціхага чакання. Запішыце адзнаку часу, бо наступная спроба дадасць яшчэ адзін блок у той жа файл.

Калі журнал паказвае завершаны ўваход і пасля гэтага нічога, вы знаходзіцеся ў лакальнай наладзе, і адаптар — законны падазроны.

Крок 2: абмяжуйце змену IPv6 адным адаптарам

Змена належыць адаптару, а не машыне. Ва ўласцівасцях адаптара Windows гэта азначае зняць Internet Protocol Version 6 (TCP/IPv6) на канкрэтным інтэрфейсе, а з абалонкі гэта Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Пераканайцеся ў стане з дапамогай Get-NetAdapterBinding -ComponentID ms_tcpip6 перад паўторным падключэннем. Затым падключыцеся зноў і паглядзіце, ці шкала праходзіць 98%, а не спыняецца на ім.

Спачатку вызначце абсяг, потым тэстуйце. Адключэнне IPv6 глабальна — большая змена, чым патрабуе пытанне, і яна закранае службы, якія вы не збіраліся чапаць.

Крок 3: праверце, што хавала затрымка

Тунель, які падключаецца, — не тунель, які працуе. Праверце адрас, які прызначыў кліент, маршруты, якія ўсталяваў профіль, і развязанне імён для аднаго ўнутранага хоста: Resolve-DnsName files.corp.example. Кліент, які падключаецца і нічога не развязвае, мае праблему DNS, і гэта лёгка памылкова прачытаць як вяртанне той жа няспраўнасці.

Праверце адзін унутраны рэсурс па імені і адзін публічны пункт прызначэння, каб зламаны split-тунель не прынялі за выпраўлены кліент.

Крок 4: зрабіце выпраўленне паўтаральным

Калі налада павінна дайсці да флоту, змясціце яе ў пакет разгортвання або ў канфігурацыю адаптара, а не ў ручны крок, які паўтараецца на кожным ноўтбуку. Запішыце ў заяўцы, што затрымка на 98% была звязана з IPv6 на сеткавым інтэрфейсе, і адзначце, што яшчэ на хосце залежала ад IPv6, перш чым хтосьці зноў уключыць яго, каб выправіць нешта непавязанае.

Выпраўленне, якое існуе толькі ў памяці аднаго інжынера, — гэта выпраўленне, якое вернецца ў наступным квартале.

Калі шкала ўсё яшчэ спыняецца на 98% з выключаным IPv6, заўвага вытворцы больш гэтага не тлумачыць, і журнал — ваш наступны доказ. Перастаньце лячыць сімптом і вярніцеся да лічыльніка этапаў.