Кой сайтов интерфейс на RRAS избира входящият тунел?
RRAS избира входящ сайтов интерфейс по адрес на партньора, потребителско име или субект на сертификата, затова четете този ключ отделно от състоянията включен и свързан.
На Windows сървър с няколко междусайтови интерфейса надписът в конзолата не е просто бележка за хора. RRAS използва определено поле от входящата връзка, за да реши кой логически интерфейс ще отговори, и това поле се мени с метода за удостоверяване. Сбъркате ли ключа, ще преименувате интерфейси, докато нещо не се свърже случайно. Правилото за избор, административното състояние и състоянието на сесията са три отделни факта и само един от тях е за именуването.
Митът: преименуваният интерфейс ще съвпадне с всичко
Изкушаващото решение, когато клон не може да се свърже, е да създадете или преименувате сайтов интерфейс, докато заприлича на този, който се обажда. Това работи за един метод за удостоверяване и тихо се проваля за останалите, затова една и съща процедура се предава с противоречиви резултати. Сайтовият интерфейс е логически обект на връзка със своя дестинация, защитени префикси и състояние. Той не е физическият адаптер, който носи криптираните пакети, така че гледането на мрежови адаптери не ви казва нищо за това кой сайтов обект е избран.
Изборът също няма нищо общо с обикновените потребители на отдалечен достъп. Ако се свързват VPN клиенти на служители, те са друга роля и техните потребителски имена никога не участват в това съпоставяне. Потвърдете към коя роля принадлежи този, който се обажда, преди да влагате смисъл в познато име.
Три форми на удостоверяване, три ключа за избор
При предварително споделен ключ конфигурираният адрес на дестинацията на интерфейса се сравнява с адреса на входящия партньор. Надписът може да бъде какъвто и да е, защото решението се носи от адреса. При удостоверяване по потребителско име името на интерфейса се сравнява с потребителското име, което представя този, който се обажда. Тук надписът е ключът и точно затова преименуването може да изглежда, че поправя един сайт и чупи друг.
При сертификатите името на интерфейса се сравнява с името на субекта в представения сертификат. Името трябва да съответства на този субект и красив надпис, измислен от оператор, няма да свърши работа.
Следват две последствия. При схемата с предварително споделен ключ само един интерфейс може да е включен за дадена дестинация, така че два клона, които споделят един наблюдаван публичен адрес, не могат да бъдат обслужвани чрез дублирани записи. И управлява онзи метод, който действително сте конфигурирали, независимо какво подсказва конзолата.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Включен не значи свързан
Административният статус казва дали логическият интерфейс има право да работи. Състоянието на връзката казва дали има сесия точно сега. Включен интерфейс без сесия е нормално състояние на покой за връзка по заявка и докладването му като повреда кара хората да гонят прекъсване, което не съществува.
Използвайте търсене по име или документираното търсене по домейн на маршрутизацията, но не двата параметъра заедно, и го изпълнявайте в предвидения контекст на сървъра. Ако интерфейсът, който очаквате, липсва в първия списък, проблемът е преди състоянието: нищо изобщо не е избрано.
Четете двойката заедно, а не поотделно. Връзка, която трябва да остане установена и показва прекъсване, заслужава разследване, докато бездействаща връзка по заявка, която се свързва при нужда, работи както е проектирана. Междувременно административно изключен интерфейс ще остане тъмен, колкото и пъти отсрещната страна да рестартира своя маршрутизатор.
Нито една от двете стойности не доказва, че удостоверяването е успяло, че договорената защита съвпада, че маршрутите са инсталирани или че частното приложение е разрешено. Това са четири различни въпроса с четири различни отговора.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateПрочетете транзакцията на идентичността, преди да включите нещо
Когато входящ абонат се съпостави с интерфейс, който не сте очаквали, полезното доказателство е представената от него идентичност, а не списъкът с изключени интерфейси. Извадете последните събития за отдалечен достъп и прочетете адреса на този, който се обажда, резултата от удостоверяването и името на избрания интерфейс. Изключен интерфейс може да е умишлено пенсиониран сайт или забранен партньор. Включването му, за да видите дали една грешка при вход ще изчезне, е промяна в конфигурацията с последствия за маршрутизацията и достъпа, затова прекарайте решението през собственика на тази сайтова връзка, заедно с нейната дестинация, защитени префикси и политика.
Ако съпоставянето наистина е грешно, поправете ключа, а не симптома: поправете субекта на сертификата или името на интерфейса в случая с потребителско име и дестинацията в случая с предварително споделен ключ. След това се свържете отново веднъж и потвърдете, че същият абонат вече избира предвидения обект.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Затворете цикъла с разрешена операция
Зеленото състояние не е приемане. След като правилният интерфейс е избран, генерирайте трафик, който проектът позволява, от хост в един защитен префикс до хост в другия, и потвърдете, че отговорът се връща по същия път. Изпълнете същия опит от хост, който трябва да бъде отказан, като използвате Test-NetConnection -ComputerName 10.44.2.10 -Port 445 срещу услуга, която проектът изключва, и прочетете отново събитията за отдалечен достъп. Сайтова връзка, която носи повече от предвидените си префикси или отговаря за услуга, която политиката изключва, е грешка в маршрутизацията, която никаква проверка на състоянието няма да разкрие.
Запишете метода за удостоверяване, ключа за избор и разрешените префикси заедно в наръчника за експлоатация на сайта. Следващият инженер ще срещне същата таблица с три стойности и конвенцията за именуване има смисъл само след като този контекст е записан.