FortiClient zapinje na 98%: isključite IPv6 na tom adapteru

Traka stigne do 98%, klijent stoji tu, a ponovno upisivanje lozinke ništa ne mijenja. To je koristan trag: klijent je već prihvatio certifikat pristupnika, poslao vjerodajnice i primio konfiguraciju tunela. Ono što ostaje jest podizanje virtualnog adaptera i potvrđivanje da tunel prenosi promet. Kada se taj posljednji korak nikada ne dovrši, kvar je lokalni i nikakvo ponovno upisivanje vjerodajnica ga ne doseže.

Četiri koraka, a prvi je čitanje zapisa, a ne trake.

Što brojač od 98% zapravo prijavljuje

Postotak je klijentov vlastiti brojač faza, a ne mjera propusnosti. Zastoj na istom broju pri svakom pokušaju znači da klijent dosegne određeni korak i čeka; zato spora veza i zaglavljeni klijent u zapisu izgledaju različito. Problem s vjerodajnicama ispisao bi pogrešku vjerodajnica umjesto tihe stanke.

Fortinet je ovaj simptom dokumentirao uz jedan uzrok na strani klijenta: omogućen IPv6 na adapteru koji klijent koristi. Zato je postavka adaptera prva stvar koju treba isprobati, a ne univerzalno objašnjenje za svaki SSL-VPN zastoj.

Korak 1: pročitajte zapis prije trake

Prije nego što bilo što promijenite, zabilježite retke neposredno prije zastoja. Tražite je li tunelski adapter stvoren, je li dodijeljena adresa i je li klijent odustao od čekanja na obitelj adresa. Zastoj na drugom postotku druga je faza s vlastitom dijagnozom, a upozorenje o certifikatu ili pogrešna adresa pristupnika daje vlastitu poruku umjesto tihog čekanja. Zapišite vremensku oznaku jer sljedeći pokušaj dodaje još jedan blok u istu datoteku.

Ako zapis pokazuje dovršenu prijavu nakon koje slijedi ništa, nalazite se u lokalnom postavljanju i adapter je legitiman osumnjičenik.

Korak 2: ograničite promjenu IPv6 na jedan adapter

Promjena pripada adapteru, a ne stroju. U svojstvima adaptera u Windowsima to znači uklanjanje Internet Protocol Version 6 (TCP/IPv6) na određenom sučelju, a iz ljuske to je Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Potvrdite stanje s Get-NetAdapterBinding -ComponentID ms_tcpip6 prije ponovnog povezivanja. Zatim se ponovno povežite i gledajte prolazi li traka 98% umjesto da se zaustavi na njemu.

Prvo ograničite opseg, zatim isprobajte. Globalno isključivanje IPv6 veća je promjena nego što pitanje zahtijeva i utječe na usluge koje niste namjeravali dirati.

Korak 3: provjerite što je zastoj skrivao

Tunel koji se povezuje nije tunel koji radi. Provjerite adresu koju je klijent dodijelio, rute koje je profil instalirao i razrješavanje imena za jedan interni host: Resolve-DnsName files.corp.example. Klijent koji se poveže i ništa ne razriješi ima problem s DNS-om, a to je lako pogrešno pročitati kao povratak istog kvara.

Isprobajte jedan interni resurs po imenu i jedno javno odredište da se pokvareni split tunel ne zamijeni za popravljeni klijent.

Korak 4: učinite popravak ponovljivim

Ako postavka mora doći do cijele flote, stavite je u paket za implementaciju ili u konfiguraciju adaptera, a ne u ručni korak koji se ponavlja na svakom prijenosniku. Zabilježite u zahtjevu da je zastoj na 98% bio povezan s IPv6 na mrežnom sučelju i zabilježite što je još na hostu ovisilo o IPv6 prije nego što ga netko ponovno omogući da popravi nešto nepovezano.

Popravak koji postoji samo u sjećanju jednog inženjera popravak je koji se vraća sljedeće tromjesečje.

Ako se traka i dalje zaustavlja na 98% s isključenim IPv6, dobavljačeva bilješka to više ne objašnjava i zapis je vaš sljedeći dokaz. Prestanite liječiti simptom i vratite se brojaču faza.