RRAS VPN klijenti trebaju vlastiti IPv4 bazen i put natrag

VPN klijent se povezuje i dobija adresu, a LAN host kojem je potreban i dalje mu ne može odgovoriti. U Windows Routing and Remote Access unutrašnja adresa za VPN klijente dolazi iz bazena koji se konfiguriše odvojeno od LAN adaptera servera, a LAN strana treba rutu natrag do tog bazena. Dvije promjene, ne jedna, i one padaju na različite načine. Prođite kroz njih po redu kako bi plan adresa i povratni put bili dokazani prije nego se stari rasponi povuku.

Rezervišite raspon prije otvaranja konzole

Odaberite prefiks koji se ne preklapa s LAN-om, drugim VPN rasponima ni bilo čim što se rutira u lokaciju. /24 je zgodna veličina za test, a prvi upotrebljivi dio može se dati klijentima dok ostatak ostaje slobodan za rast. Zapišite ga s namjenom i vlasnikom prije nego ga utipkate u konzolu. Ostavite prostor na oba kraja bloka da kasnija podjela ne prisili prenumeraciju.

Plan adresa koji živi samo u konzoli udaljen je jednu obnovu od kolizije. On također ima tendenciju rasta: neko kasnije doda drugi raspon i nitko ne provjeri prvi. Držite plan uz serversku dokumentaciju, ne u chat niti.

LAN adapter servera ne definiše ovaj bazen. Promjena javnog listenera ili dodavanje adaptera u LAN radi nešto sasvim drugo. Zato se klijenti mogu povezati i ipak dobiti adresu s pogrešnog mjesta. Bazen živi u IPv4 svojstvima servera, ne na listi adaptera.

Promjena metode nije dodavanje raspona

RRAS ima metodu dodjele i skup raspona. Prelazak s DHCP-a na statički bazen je promjena metode. Dodavanje još jednog bloka dok je statički bazen već aktivan je promjena raspona.

Pregledajte obje operacije prije pokretanja bilo koje i pročitajte koja odgovara trenutnom stanju servera:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

Druga cmdlet naredba pada ili stvara neupotrebljiv bazen ako je server još na DHCP dodjeli. Prva zamjenjuje metodu umjesto da proširuje postojeći bazen. Nijedan pregled ništa ne primjenjuje, pa pokrenite onaj koji odgovara, a zatim potvrdite dobijeni bazen u konzoli. Ako niste sigurni u kojem je stanju server, pročitajte metodu dodjele na stranici IPv4 svojstava i izlistajte konfigurisane raspone:

Get-VpnIPAddressRange

Metoda DHCP s praznom listom raspona znači da se primjenjuje prvi pregled. Statički bazen adresa s postojećim rasponom znači da se primjenjuje drugi.

Uzmite u obzir ponovno pokretanje servisa koje postavka može zahtijevati i ne pretpostavljajte da se povezani klijenti odmah prenumerišu. Klijent koji zadržava staru adresu dok se ponovo ne poveže ponaša se normalno. Planirajte promjenu za prozor u kojem je ponovno povezivanje prihvatljivo.

LAN treba rutu natrag

Pretpostavimo da je LAN 10.60.0.0/24, a RRAS server 10.60.0.10 na njemu. Host na tom LAN-u koji odgovara klijentu u 10.250.50.0/24 treba put do bazena kroz RRAS server. Bez tog puta zahtjev stiže, a odgovor umire.

Ako je hostov zadani gateway drugi ruter, tom ruteru treba povratna ruta za VPN prefiks. Statička ruta na RRAS serveru ovdje ne pomaže; povratni put mora postojati na uređaju koji posjeduje LAN gateway, pa ga dodajte u tablicu rutiranja ili u proces dinamičkog rutiranja, ovisno o tome što lokacija koristi.

Provjerite i hostov firewall i sva pravila mrežnog pristupa prema novom izvornom rasponu. Pravila napisana za stari raspon klijenata odbijaju novi iako je dodjela uspjela. Rute klijenta prema LAN-u i DNS razrješavanje su odvojeni zahtjevi i oboje može pasti dok tunel izgleda zdravo. Testirajte svaki zasebno.

Dokažite novi bazen na jednom uređaju prije povlačenja starog

Uzmite jedno ovlaštenje koje kontrolišete, ponovo se povežite i pročitajte adresu bazena koju je klijent dobio. Taj jedan broj razdvaja dodjelu od rutiranja. Zatim pokrenite imenovanu aplikaciju, gledajte povratni promet i isprobajte odredište koje mora ostati odbijeno. Tri zapažanja, tri različita načina kvara.

Razrješavanje imena zaslužuje vlastiti test: pristup po IP-u može raditi dok DNS klijenta još pokazuje na resolver do kojeg ne može doći. DNS server na LAN-u dostupan je samo ako klijent ima rutu do njega i server prihvata upite iz novog raspona. Oboje su česti propusti kad se bazen preseli.

Povucite stare raspone i njihove izuzetke tek nakon što uzmete u obzir aktivne sesije i proces održavanja. Povezani klijent s novom adresom dokazuje dodjelu, ne politiku pristupa. Držite stari raspon dokumentovan dok ne istekne posljednja sesija koja ga je koristila.

Provjerite rezultat s tri zapažanja

Prihvatanje traži tri činjenice: klijent ima adresu iz novog bazena, LAN host može doći do njega i dobiti odgovor, a odbijeno odredište je i dalje odbijeno. Svaka ima vlastitu provjeru, pa kvar upućuje na dodjelu, rutiranje ili politiku. Pokrenite ih tim redom.

S klijenta potvrdite adresu i rutu do jednog LAN hosta:

ipconfig | findstr /i "IPv4"
route print -4

S LAN hosta potvrdite povratni put i politiku u jednom prolazu. Ako ping pada ali aplikacija radi, dio koji nedostaje vjerovatno je ICMP pravilo, a ne ruta. Ako oboje pada, pročitajte rutu na hostu prije uređivanja VPN-a. Zapišite tri rezultata u tiket promjene da sljedeća osoba počne od dokaza.