Які сайтавы інтэрфейс RRAS выбірае ўваходны тунэль?
RRAS выбірае ўваходны сайтавы інтэрфейс па адрасе партнёра, імені карыстальніка або суб’екце сертыфіката, таму чытайце гэты ключ асобна ад станаў уключэння і падключэння.
На серверы Windows з некалькімі міжсайтавымі інтэрфейсамі подпіс у кансолі — не проста нататка для людзей. RRAS выкарыстоўвае пэўнае поле ўваходнага злучэння, каб вырашыць, які лагічны інтэрфейс адкажа, і гэтае поле залежыць ад метаду аўтэнтыфікацыі. Памыліцеся з ключом — і вы будзеце пераназываць інтэрфейсы, пакуль нешта не падключыцца выпадкова. Правіла выбару, адміністрацыйны стан і стан сеанса — тры асобныя факты, і толькі адзін з іх пра назвы.
Міф: пераназваны інтэрфейс падыдзе да чаго заўгодна
Спакуслівае выпраўленне, калі філіял не можа падключыцца, — стварыць або пераназваць сайтавы інтэрфейс, пакуль ён не стане падобным на таго, хто звоніць. Гэта працуе для аднаго метаду аўтэнтыфікацыі і моўчкі падводзіць для іншых, таму адну і тую ж працэдуру перадаюць з супярэчлівымі вынікамі. Сайтавы інтэрфейс — гэта лагічны аб’ект злучэння са сваім прызначэннем, абароненымі прэфіксамі і станам. Ён не з’яўляецца фізічным адаптарам, які нясе шыфраваныя пакеты, таму позірк на сеткавыя адаптары нічога не скажа пра тое, які сайтавы аб’ект выбраны.
Выбар таксама не мае нічога агульнага са звычайнымі карыстальнікамі аддаленага доступу. Калі падключаюцца кліенты VPN супрацоўнікаў, яны маюць іншую ролю, і іх імёны карыстальнікаў ніколі не ўдзельнічаюць у гэтым супастаўленні. Пацвердзіце, да якой ролі належыць той, хто звоніць, перш чым рабіць высновы са знаёмага імені.
Тры формы аўтэнтыфікацыі, тры ключы выбару
З папярэдне агульным ключом наладжаны адрас прызначэння інтэрфейса супастаўляецца з адрасам уваходнага партнёра. Подпіс можа быць любым, бо рашэнне нясе адрас. Пры аўтэнтыфікацыі па імені карыстальніка імя інтэрфейса супастаўляецца з іменем, якое падае той, хто звоніць. Тут подпіс і ёсць ключом, і менавіта таму пераназванне можа выглядаць як ратаванне аднаго сайта і паламаць іншы.
Са сертыфікатамі імя інтэрфейса супастаўляецца з іменем суб’екта ў прад’яўленым сертыфікаце. Імя павінна адпавядаць гэтаму суб’екту, і прыгожы подпіс, прыдуманы аператарам, не падыдзе.
З гэтага вынікаюць дзве наступствы. У схеме з папярэдне агульным ключом для пэўнага прызначэння можна ўключыць толькі адзін інтэрфейс, таму дзве філіі, якія дзеляць адзін назіраны публічны адрас, не могуць абслугоўвацца дублікатамі запісаў. І кіруе той метад, які вы фактычна наладзілі, незалежна ад таго, што прапануе кансоль.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Уключаны — не значыць падключаны
Адміністрацыйны статус кажа, ці дазволена лагічнаму інтэрфейсу працаваць. Стан злучэння кажа, ці ёсць сеанс прама зараз. Уключаны інтэрфейс без сеанса — звычайны стан спакою для канала па патрабаванні, і паведамленне пра гэта як пра збой прымушае людзей ганяцца за аварыяй, якой няма.
Выкарыстоўвайце пошук па імені або дакументаваны пошук па дамене маршрутызацыі, але не абодва параметры адначасова, і запускайце яго ў патрэбным кантэксце сервера. Калі чаканы інтэрфейс адсутнічае ў першым спісе, праблема вышэй за стан: нічога наогул не было выбрана.
Чытайце пару разам, а не асобна. Канал, які мае заставацца ўсталяваным і паказвае адключэнне, варты расследавання, а прастой канал па патрабаванні, які падключаецца па запыце, працуе як задумана. Тым часам адміністрацыйна адключаны інтэрфейс застанецца цёмным, колькі б разоў супрацьлеглы бок ні перазапускаў свой маршрутызатар.
Ні адно з гэтых значэнняў не даказвае, што аўтэнтыфікацыя прайшла, што ўзгодненая абарона супадае, што маршруты ўсталяваныя ці што прыватнаму дадатку дазволена. Гэта чатыры розныя пытанні з чатырма рознымі адказамі.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateПрачытайце транзакцыю ідэнтычнасці, перш чым нешта ўключаць
Калі ўваходны абанент супастаўляецца з інтэрфейсам, якога вы не чакалі, карыснае сведчанне — гэта прад’яўленая ім ідэнтычнасць, а не спіс адключаных інтэрфейсаў. Выберыце нядаўнія падзеі аддаленага доступу і прачытайце адрас таго, хто звоніць, вынік аўтэнтыфікацыі і імя выбранага інтэрфейса. Адключаны інтэрфейс можа быць наўмысна выведзеным з эксплуатацыі сайтам або забароненым партнёрам. Уключыць яго, каб паглядзець, ці знікне адна памылка ўваходу, — гэта змена канфігурацыі з наступствамі для маршрутызацыі і доступу, таму правядзіце рашэнне праз уладальніка гэтых адносін сайта разам з яго прызначэннем, абароненымі прэфіксамі і палітыкай.
Калі супастаўленне сапраўды няправільнае, выпраўляйце ключ, а не сімптом: выпраўце суб’ект сертыфіката ці імя інтэрфейса ў выпадку імені карыстальніка і прызначэнне ў выпадку папярэдне агульнага ключа. Затым адзін раз перападключыцеся і пацвердзіце, што той жа абанент цяпер выбірае патрэбны аб’ект.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Замкніце цыкл дазволенай аперацыяй
Зялёны стан — не прыняцце. Калі правільны інтэрфейс выбраны, згенеруйце трафік, які дазваляе праект, ад хоста ў адным абароненым прэфіксе да хоста ў другім, і пацвердзіце, што адказ вяртаецца тым жа шляхам. Паўтарыце тую ж спробу з хоста, які павінен быць адхілены, выкарыстоўваючы Test-NetConnection -ComputerName 10.44.2.10 -Port 445 супраць службы, якую праект выключае, і зноў прачытайце падзеі аддаленага доступу. Сайтавы канал, які нясе больш за свае прызначаныя прэфіксы або адказвае за службу, якую палітыка выключае, — гэта памылка маршрутызацыі, якую ніякая праверка стану не выявіць.
Запішыце метад аўтэнтыфікацыі, ключ выбару і дазволеныя прэфіксы разам у кнігу эксплуатацыі сайта. Наступны інжынер сустрэне тую ж табліцу з трыма значэннямі, і ўмоўнасць назваў мае сэнс толькі тады, калі гэты кантэкст запісаны.