Quina interfície de lloc RRAS tria un túnel d’entrada?
RRAS tria una interfície de lloc d’entrada per adreça de parell, nom d’usuari o subjecte del certificat, així que llegiu aquesta clau per separat dels estats habilitat i connectat.
En un servidor Windows amb diverses interfícies de lloc a lloc, una etiqueta de consola no és només una nota per a persones. RRAS fa servir un camp concret de la connexió d’entrada per decidir quina interfície lògica li respon, i aquest camp canvia segons el mètode d’autenticació. Si us equivoqueu de clau, reanomenareu interfícies fins que alguna cosa es connecti per casualitat. La regla de selecció, l’estat administratiu i l’estat de la sessió són tres fets separats i només un d’ells tracta del nom.
El mite: una interfície reanomenada encaixarà amb qualsevol cosa
La solució temptadora quan una sucursal no es pot connectar és crear o reanomenar una interfície de lloc fins que sembli el sol·licitant. Això funciona per a un mètode d’autenticació i falla en silenci per als altres, i per això el mateix procediment es passa amb resultats contradictoris. Una interfície de lloc és un objecte de connexió lògic amb la seva pròpia destinació, prefixos protegits i estat. No és l’adaptador físic que porta els paquets xifrats, així que mirar els adaptadors de xarxa no us diu res sobre quin objecte de lloc s’ha triat.
La selecció tampoc no té res a veure amb els usuaris normals d’accés remot. Si els clients VPN dels empleats marquen, són un altre rol i els seus noms d’usuari no participen mai en aquest mapatge. Confirmeu a quin rol pertany el sol·licitant abans de deduir res d’un nom familiar.
Tres formes d’autenticació, tres claus de selecció
Amb una clau prèviament compartida, l’adreça de destinació configurada de la interfície es compara amb l’adreça del parell d’entrada. L’etiqueta pot ser qualsevol cosa, perquè la decisió la porta l’adreça. Amb autenticació basada en nom d’usuari, el nom de la interfície es compara amb el nom d’usuari que presenta el sol·licitant. Aquí l’etiqueta és la clau, i és exactament per això que un reanomenament pot semblar que arregla un lloc i en trenca un altre.
Amb certificats, el nom de la interfície es compara amb el nom del subjecte del certificat presentat. El nom ha de correspondre a aquest subjecte, i una etiqueta bonica inventada per un operador no servirà.
Se’n deriven dues conseqüències. En l’esquema de clau prèviament compartida només es pot habilitar una interfície per a una destinació donada, així que dues sucursals que comparteixen una mateixa adreça pública observada no poden ser ateses totes dues amb entrades duplicades. I mana el mètode que hàgiu configurat realment, digui el que digui la consola.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Habilitat no és connectat
L’estat administratiu diu si la interfície lògica pot funcionar. L’estat de connexió diu si hi ha una sessió ara mateix. Una interfície habilitada sense sessió és un estat de repòs normal per a un enllaç que marca a demanda, i informar-ne com a fallada fa que la gent persegueixi una avaria que no existeix.
Feu servir una cerca per nom o la cerca documentada de domini d’encaminament, però no tots dos paràmetres alhora, i executeu-la en el context de servidor previst. Si la interfície que espereu no apareix al primer llistat, el problema és abans de l’estat: no s’ha triat res de res.
Llegiu la parella juntes i no per separat. Un enllaç que ha de romandre establert i es mostra desconnectat mereix una investigació, mentre que un enllaç inactiu que es connecta a demanda es comporta tal com es va dissenyar. Mentrestant, una interfície deshabilitada administrativament continuarà fosca per moltes vegades que el costat remot reiniciï el seu encaminador.
Cap dels dos valors no demostra que l’autenticació hagi reeixit, que la protecció negociada coincideixi, que s’hagin instal·lat rutes o que l’aplicació privada estigui permesa. Són quatre preguntes diferents amb quatre respostes diferents.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLlegiu la transacció d’identitat abans d’habilitar res
Quan un sol·licitant d’entrada es mapifica a una interfície que no esperàveu, l’evidència útil és la identitat que ha presentat, no la llista d’interfícies deshabilitades. Extraieu els esdeveniments recents d’accés remot i llegiu l’adreça del sol·licitant, el resultat de l’autenticació i el nom de la interfície triada. Una interfície deshabilitada pot ser un lloc retirat deliberadament o un soci prohibit. Habilitar-la per veure si un error d’inici de sessió desapareix és un canvi de configuració amb conseqüències d’encaminament i accés, així que passeu la decisió pel propietari d’aquesta relació de lloc, amb la seva destinació, prefixos protegits i política.
Si el mapatge és realment erroni, corregiu la clau i no el símptoma: arregleu el subjecte del certificat o el nom de la interfície en el cas del nom d’usuari, i la destinació en el cas de la clau prèviament compartida. Després reconnecteu una vegada i confirmeu que el mateix sol·licitant ara tria l’objecte previst.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Tanqueu el cicle amb una operació permesa
Un estat verd no és acceptació. Un cop triada la interfície correcta, genereu trànsit que el disseny permeti, d’un equip d’un prefix protegit a un equip de l’altre, i confirmeu que la resposta torna pel mateix camí. Feu el mateix intent des d’un equip que hauria de ser refusat, fent servir Test-NetConnection -ComputerName 10.44.2.10 -Port 445 contra un servei que el disseny exclou, i torneu a llegir els esdeveniments d’accés remot. Un enllaç de lloc que porta més enllà dels seus prefixos previstos, o que respon per a un servei que la política exclou, és un error d’encaminament que cap comprovació d’estat no revelarà.
Registreu el mètode d’autenticació, la clau de selecció i els prefixos permesos junts al manual d’operacions del lloc. El proper enginyer trobarà la mateixa taula de tres valors, i la convenció de noms només té sentit quan aquest context està escrit.