Убудаваны VPN у Windows не дасягае шлюза SSL пастаўшчыка: прычына

З Windows пастаўляюцца чатыры тыпы тунеляў, і шлюз SSL пастаўшчыка не ўваходзіць у іх лік. Направіце ўбудаваны профіль на такі шлюз, і злучэнне разарвецца яшчэ да запыту ўліковых даных, звычайна з паведамленнем пра тое, што злучэнне спынена лакальнай сістэмай. Гэты тэкст — сігнал неадпаведнасці, а не дыягназ. Тып профілю і кліент, які валодае пратаколам, павінны супадаць, а аднаго з іх няма.

Чатыры тыпы і адно дыялогавае акно

Кожны захаваны профіль мае тып тунелю. Убудаваны кліент прымае PPTP, L2TP, IKEv2 і SSTP, а таксама аўтаматычны рэжым, які спрабуе іх па чарзе. Агульнага пункта SSL VPN няма, і дадаць яго праз дыялогавае акно немагчыма. Шлюз пастаўшчыка размаўляе ўласным прыкладным пратаколам паверх TLS, які рэалізуе толькі кліент гэтага пастаўшчыка.

Спіс знаходзіцца на адлегласці адной каманды, і яго варта выканаць перад любой іншай дыягностыкай, бо гэта займае секунду і здымае цэлы клас няправільных здагадак:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Калі профіль кажа SSTP, а шлюз не з’яўляецца серверам RRAS, неадпаведнасць ужо ўсталяваная. Ніякая праца з сертыфікатамі або міжсеткавым экранам гэтага не зменіць.

SSTP і TLS пастаўшчыка выглядаюць аднолькава на порце 443

SSTP заварочвае сеанс PPP у TLS і ідзе па TCP 443. У стэку Microsoft яго завяршае RRAS, які прадстаўляе сертыфікат сервера, што кліент правярае. Прылада Fortinet, Citrix або Pulse таксама завяршае TLS на 443, і яго партал адкрываецца ў любым браўзеры без скаргаў.

Гэты браўзерны тэст даказвае дасяжнасць, а не сумяшчальнасць. Пратакол сеансу за парталам належыць пастаўшчыку, і ўбудаваны кліент не мае яго рэалізацыі. Ці пастаўляе пастаўшчык уласны кліент, паказвае, з якой паловай неадпаведнасці вы маеце справу.

Адваротная блытаніна таксама бывае. Профіль, наладжаны як SSTP супраць сапраўднага сервера RRAS, можа не прайсці праверку сертыфіката, хоць партал у парадку, і гэта праблема сертыфіката, а не пратакола.

Памылкі, якія з’яўляюцца да ўзнікнення тунелю

Коды серыі 800 паведамляюцца да ўсталявання любога тунелю, таму правілы міжсеткавага экрана рэдка іх зрушваюць. Памылка 812 — гэта серверная палітыка, якая адхіляе метад аўтэнтыфікацыі, прапанаваны кліентам. Астатнія ў гэтым дыяпазоне паходзяць ад лакальнага дыспетчара злучэнняў, а не ад сеткі.

Уключыце трасіроўку, перш чым нешта перабудоўваць. Трасіроўка называе этап, які збаіў, а імя этапа каштоўнейшае за тэкст дыялогавага акна:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Трасы трапляюць у каталог трасіроўкі і застаюцца там, пакуль вы іх не ачысціце, таму пасля адключыце трасіроўку, а не пакідайце яе працаваць тыднямі.

Падключаны профіль усё яшчэ можа зламаць усё

Профіль, які падключаецца і потым ламае прагляд, лакальны агульны рэсурс або кантэйнерны рухавік, мае праблему маршрутызацыі, а не праблему тунелю. Шлюз па змаўчанні перамясціўся ў тунель, таму кожны пункт прызначэння цяпер ідзе праз партнёра, які можа яго не маршрутызаваць.

Гэта вызначаюць два сродкі кіравання. Адзін — уласцівасць раздзеленага тунелю ў профілі. Другі — опцыя для кожнага адаптара выкарыстоўваць шлюз па змаўчанні ў аддаленай сетцы, якая знаходзіцца ў дадатковых параметрах IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Уключэнне раздзеленага тунелю без дадання маршрутаў стварае тунель, які падключаецца і нікуды не дасягае. Яго выключэнне без праверкі DNS стварае ўнутраныя імёны, якія развязваюцца ў публічныя адказы, бо ўласны суфікс і серверы адаптара не выкарыстоўваюцца.

Спачатку праверце інжынерную частку, потым тып

Працуйце ў гэтым парадку і спыняйцеся, калі крок збаіў, замест таго каб правіць усё адразу:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Першая каманда аддзяляе дасяжнасць ад пратакола. Другая пацвярджае, чым профіль сябе абвяшчае. Табліца маршрутаў паказвае, ці захапіў тунель маршрут па змаўчанні. Каманда набору паведамляе ўласную памылку дыспетчара злучэнняў, якая часта зразумелейшая за дыялогавае акно.

Запішыце ў заяўку тып тунелю, прадукт шлюза і дакладную памылку. Наступны чалавек тады за хвіліну даведаецца, ці гэта неадпаведнасць пратакола, збой сертыфіката або рашэнне маршрутызацыі, замест таго каб пачынаць з “VPN не працуе”.