Ugrađeni VPN u Windowsu ne doseže dobavljačev SSL gateway: zašto

Windows dolazi s četiri tipa tunela, a dobavljačev SSL gateway nije jedan od njih. Usmjerite ugrađeni profil na takav i veza pada prije upita za akreditive, obično s porukom da je vezu prekinuo lokalni sistem. Taj tekst je signal nesklada, a ne dijagnoza. Tip profila i klijent koji posjeduje protokol moraju se slagati, a jedan od njih nedostaje.

Četiri tipa i jedan dijalog

Svaki sačuvani profil nosi tip tunela. Ugrađeni klijent prihvata PPTP, L2TP, IKEv2 i SSTP, plus automatski režim koji ih isprobava po redu. Nema općeg unosa za SSL VPN i nema načina da se doda kroz dijalog. Dobavljačev gateway govori vlastiti aplikacijski protokol preko TLS-a, koji implementira samo klijent tog dobavljača.

Lista je udaljena jednu komandu i vrijedi je pokrenuti prije svakog drugog rješavanja problema jer traje sekundu i uklanja cijelu klasu pogrešnih pretpostavki:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ako profil kaže SSTP a gateway nije RRAS server, nesklad je već utvrđen. Nikakav rad na certifikatima ili firewallu to ne mijenja.

SSTP i dobavljačev TLS izgledaju isto na portu 443

SSTP umotava PPP sesiju u TLS i ide preko TCP-a 443. U Microsoftovom stogu ga prekida RRAS, koji predstavlja serverski certifikat koji klijent provjerava. Fortinet, Citrix ili Pulse uređaj također prekida TLS na 443, a njegov portal se otvara u svakom pregledniku bez žalbe.

Taj test u pregledniku dokazuje dostupnost, ne kompatibilnost. Sesijski protokol iza portala pripada dobavljaču, a ugrađeni klijent nema njegovu implementaciju. Da li dobavljač isporučuje vlastiti klijent govori vam s kojom polovinom nesklada imate posla.

Obrnuti nesporazum se također dešava. Profil konfigurisan kao SSTP prema pravom RRAS serveru može pasti na provjeri certifikata dok je portal u redu, što je problem s certifikatom, a ne s protokolom.

Greške koje se pojavljuju prije nego tunel postoji

Kodovi serije 800 prijavljuju se prije uspostavljanja bilo kakvog tunela, zato ih firewall pravila rijetko pomjeraju. Greška 812 je serverska politika koja odbija metodu autentifikacije koju je klijent ponudio. Ostali u tom rasponu dolaze od lokalnog menadžera veza, a ne od mreže.

Uključite praćenje prije nego bilo šta ponovo gradite. Praćenje imenuje fazu koja pada, a ime faze vrijedi više od teksta u dijalogu:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Tragovi završe u direktoriju za praćenje i ostaju dok ih ne očistite, pa ga poslije isključite umjesto da ga ostavite da radi sedmicama.

Povezan profil ipak može sve pokvariti

Profil koji se poveže i zatim pokvari pregledanje, lokalno dijeljenje ili kontejnerski motor ima problem s rutiranjem, ne s tunelom. Podrazumijevani gateway se preselio u tunel, pa svako odredište sada ide preko partnera koji ga možda ne rutira.

Dvije kontrole to odlučuju. Jedna je svojstvo split tunneling na profilu. Druga je opcija po adapteru da koristi podrazumijevani gateway na udaljenoj mreži, koja se nalazi u naprednim postavkama IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Uključivanje split tunnelinga bez dodavanja ruta daje tunel koji se povezuje i ništa ne doseže. Isključivanje bez provjere DNS-a daje interna imena koja se razrješavaju u javne odgovore, jer se vlastiti sufiks i serveri adaptera ne koriste.

Provjerite instalaciju, pa tip

Radite ovim redom i zaustavite se kad korak padne, umjesto da podešavate sve odjednom:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Prva komanda razdvaja dostupnost od protokola. Druga potvrđuje šta profil tvrdi da jeste. Tabela ruta pokazuje da li je tunel preuzeo podrazumijevanu rutu. Komanda za biranje prijavljuje vlastitu grešku menadžera veza, koja je često jasnija od dijaloga.

Zapišite tip tunela, proizvod gatewaya i tačnu grešku u tiket. Sljedeća osoba tada za minutu zna je li to nesklad protokola, pad certifikata ili odluka o rutiranju, umjesto da počne od “VPN ne radi”.