Port u polju adrese Windows VPN-a radi samo za SSTP

VPN server odgovara na TCP 10443, ugrađeni Windows klijent ima ispravne akreditive, a veza ipak pada nakon pauze koja liči na DNS tajmaut. Uzrok je obično polje adrese: upisivanje vpn.example.com:10443 u Naziv servera ili adresa navodi Windows da cijeli niz pročita kao ime hosta, jer to polje nije opći host:port unos. Da li se port tamo uopće može izraziti zavisi od tipa tunela koji profil koristi, a samo jedan od četiri tipa tretira vrijednost kao nešto što može parsirati.

Zašto polje adrese nije polje host:port

Svojstvo profila iza tog polja je ServerAddress i svaki tip tunela odlučuje šta radi s nizom. Tri od njih nemaju parametar porta koji bi popunili, pa su dvotočka i broj samo znakovi u imenu koje se nikada neće razriješiti. Četvrti ide preko HTTPS-a, gdje je port dio URL-a, pa vrijednost mora biti napisana u obliku koji se parsira kao URL.

Zato kvar izgleda kao razrješavanje imena, a ne kao odbijena veza. Nema lošeg porta za prijavu, samo ime hosta koje ne postoji, a greška stiže nakon što resolver odustane. Prije nego dirnete server, provjerite koji tip tunela profil tvrdi da koristi.

Tri tipa s fiksnim portom

PPTP se povezuje na TCP 1723, a zatim nosi tunel u GRE-u, IP protokolu 47. L2TP/IPsec koristi UDP 1701 za tunel i UDP 500 plus 4500 za IPsec, pri čemu je 4500 NAT-traversal port. IKEv2 također koristi UDP 500 i 4500. Nijedan od tih profila nigdje u sučelju ne izlaže polje porta i nijedan neće pregovarati o nestandardnom portu.

Server koji sluša na prilagođenom portu zato je nedostupan tim profilima bez obzira na to kako je adresa napisana. Praktični odgovori su uski: objavite standardni port na serveru ili prevedite standardni port u prilagođeni na ruteru ispred njega. Oba čuvaju klijentski profil netaknutim, što mnogo vrijedi kada se profil raspoređuje pravilnikom, a ne upisuje ručno.

SSTP-u treba URL, a ne ime

SSTP je izuzetak jer radi unutar TLS sesije. Polje se mora parsirati kao URL: prvo šema https://, zatim host, pa dvotočka i port. Bez šeme Windows nastavlja tretirati vrijednost kao obično ime i veza pada prije bilo kakve TLS razmjene.

Razlog zašto to iznenađuje jeste to što standardni port prihvata golo ime hosta. Profil koji nikada nije trebao prilagođeni port nikada ne nauči pravilo, a prva osoba koja ga doda otkrije ga tako što ne uspije. Nakon čuvanja pročitajte sačuvanu vrijednost umjesto da vjerujete dijalogu:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress pokazuje tačno ono što je sačuvano. Ako se čita kao golo ime hosta s dvotočkom u sebi, profil nikada nije dobio URL i nikakvo ponavljanje to neće popraviti.

Sintaksa dobavljača koja se lijepi u isto polje

Neki gatewayi dokumentuju dodatne konvencije za to polje, kao što je realm dodat nakon porta ili parametri upita koji mijenjaju rukovanje certifikatom. Oni su razumljivi tom serveru dobavljača i, u nekim buildovima, njegovom vlastitom klijentu. Nisu dio Windows formata profila, a lijepljenje u ugrađeni profil obično proizvodi isti tihi kvar imena.

Parametar koji isključuje provjeru certifikata tretirajte kao upozorenje, a ne kao popravak. Ako se profil povezuje samo s tim parametrom, certifikat se ne podudara s imenom koje se koristi, a ispravan popravak je na gatewayu, ne u klijentu. Realm nakon porta ima isto svojstvo: djeluje samo ako ga server s druge strane očekuje.

Dokažite port, pa pročitajte fazu koja pada

Potvrdite da nešto prihvata TCP na tom portu iz klijentove mreže prije nego okrivite profil:

Test-NetConnection vpn.example.com -Port 10443

Uspjeh dokazuje slušaoca, ne SSTP. Web server, obrnuti proxy ili balanser opterećenja mogu završiti TCP rukovanje i još uvijek ne govoriti SSTP, pa je zeleni test s crvenim VPN-om stvarna kombinacija. Uporedite subjekt certifikata s imenom u profilu i provjerite RasClient dnevnik u buildovima koji ga isporučuju, jer on bilježi fazu koja je pala umjesto generičkog tajmauta.

Zatim razmotrite opciju koja uklanja problem umjesto da ga dokumentuje: proslijedite TCP 443 spolja na 10443 na VPN serveru. Klijent tada koristi standardni profil bez ikakvog porta, što je obično najčišći raspored za upravljanu flotu i ostavlja prilagođeni port kao interni detalj.