GVC encallat a Acquiring IP: no és un problema de contrasenya

El Global VPN Client s’atura a Acquiring IP, i la reacció instintiva és tornar a escriure la contrasenya o reinstal·lar el client. Cap de les dues coses toca l’etapa que ha fallat. L’autenticació s’ha completat abans que el client demanés cap adreça, així que no són les credencials el que us reté en aquella línia. El que us hi reté és un intercanvi DHCP que no ha acabat, i es pot encallar en tres llocs diferents.

L’autenticació i l’assignació d’adreces són etapes separades

GVC primer demostra qui sou i després demana la configuració del seu adaptador virtual segons la política assignada a la vostra connexió. Són passos successius amb signatures de fallada diferents. Unes credencials dolentes solen fallar abans, amb un missatge d’autenticació o de negociació en lloc de la línia de l’adreça.

Aquest ordre explica per què restablir la contrasenya, crear un usuari local nou o reinstal·lar no canvia res aquí. El client ja està autoritzat; ara espera una concessió que la passarel·la o el seu soci DHCP ha de proporcionar. Fins i tot una política que permet l’usuari però no assigna cap rang d’adreces produeix exactament aquesta pantalla.

Per tant, la primera pregunta útil no és si les credencials són correctes, sinó quina política s’ha assignat i què diu aquesta política sobre l’adreçament de l’adaptador virtual. Llegiu la configuració efectiva d’aquella connexió en lloc de la captura de pantalla que funciona a un company.

D’on ve realment la concessió

Hi ha dos models habituals. El tallafoc pot gestionar ell mateix un àmbit DHCP per als clients VPN, o pot retransmetre la petició a un servidor DHCP extern de la xarxa interna. El model determina quins registres importen i a qui cal trucar.

En el model intern, comproveu que l’àmbit encara existeix, pertany a la interfície correcta i té concessions lliures. Un àmbit exhaurit produeix un client que s’autentica perfectament i no rep mai cap adreça, i el registre de la passarel·la pot només mostrar la petició. En el model de retransmissió, l’objectiu de la retransmissió, la ruta de tornada al rang de clients VPN i qualsevol autorització DHCP interna han de coincidir.

Anoteu quin model fa servir el vostre desplegament abans de provar res. La meitat dels consells contradictoris que hi ha en línia pressuposen l’altre.

Un túnel pot estar actiu i tot i així perdre la concessió

Una connexió de control establerta demostra que la negociació ha funcionat, no que les dades del túnel passin en tots dos sentits. L’intercanvi DHCP necessita petició i resposta per sobreviure al camí de dades, i és aquí on viuen la configuració de xifratge, la política de la zona VPN i els problemes d’MTU.

El consell sobre el travessament de NAT és l’exemple més clar que el context importa. Alguns camins el necessiten activat, d’altres només funcionen desactivat, i el NAT intermedi més la connexió negociada decideixen quin. Canviar-lo a cegues mentre també canvieu paràmetres del client significa que no sabreu quin canvi ha produït el resultat. Anoteu el camí negociat i les proves abans de modificar l’encapsulament.

Reiniciar el router de casa pertany a la mateixa categoria. De vegades elimina el símptoma, però no identifica per què ha fallat la concessió, i el problema torna a la connexió següent.

Seguiu el camí de la concessió per ordre

Començeu per l’adaptador i aneu cap enfora, de manera que cada pas només pugui fallar per una raó:

> Get-NetAdapter | Where-Object Name -like "*GVC*"
> ipconfig /all | findstr /i /c:"GVC" /c:"IPv4" /c:"DHCP"
> Test-NetConnection 10.60.0.1 -Port 443

Una adreça com 169.254.x.x significa que l’adaptador existeix i no ha rebut cap resposta, cosa que apunta a l’origen de la concessió o al camí de dades. Una adreça correcta dins del rang VPN amb entrades DNS incorrectes és una altra avaria: la concessió ha funcionat i la política ha proporcionat una configuració incompleta. Un adaptador que no apareix mai vol dir que el client no ha arribat a crear-lo.

Quan aparegui una concessió, proveu el recurs real en lloc de declarar la victòria a la línia de l’adreça. Si l’accés a fitxers o a la intranet encara falla, guardeu la concessió correcta com a prova i passeu a la resolució de noms o a la política, perquè ja heu deixat enrere l’avaria original.

La nota de SonicWall sobre l’adaptador virtual enumera diverses branques separades, i les seves captures antigues no s’han de llegir com el mapa actual del menú. Feu-la servir per confirmar l’etapa a què heu arribat, no com una llista de comprovació per aplicar sencera.