FortiClient zamrzne na 98 %: vypněte IPv6 na daném adaptéru

Ukazatel se dostane na 98 %, klient tam zůstane stát a přepsání hesla nic nezmění. To je užitečná stopa: klient už přijal certifikát brány, odeslal přihlašovací údaje a dostal konfiguraci tunelu. Zbývá zvednout virtuální adaptér a potvrdit, že tunel přenáší provoz. Když se tento poslední krok nikdy nedokončí, závada je místní a žádné přepisování údajů se k ní nedostane.

Čtyři kroky a první z nich je čtení protokolu, ne ukazatele.

Co počitadlo 98 % vlastně hlásí

Procento je vlastní počitadlo fází klienta, ne míra propustnosti. Zaseknutí na stejném čísle při každém pokusu znamená, že klient dosáhne určitého kroku a čeká; proto pomalé připojení a zaseknutý klient vypadají v protokolu jinak. Problém s přihlašovacími údaji by vypsal chybu údajů místo tichého pozastavení.

Fortinet tento symptom zdokumentoval u jedné příčiny na straně klienta: zapnutá IPv6 na adaptéru, který klient používá. To dělá z nastavení adaptéru první věc k vyzkoušení, ne univerzální vysvětlení každého SSL-VPN zaseknutí.

Krok 1: čtěte protokol dřív než ukazatel

Než cokoli změníte, zachyťte řádky těsně před zaseknutím. Hledáte, zda byl vytvořen tunelový adaptér, zda byla přiřazena adresa a zda klient přestal čekat na rodinu adres. Zaseknutí na jiném procentu je jiná fáze s vlastní diagnostikou a varování o certifikátu nebo špatná adresa brány vydá vlastní zprávu místo tichého čekání. Zapište si časové razítko, protože další pokus přidá do stejného souboru další blok.

Pokud protokol ukazuje dokončené přihlášení a po něm nic, jste v místním nastavení a adaptér je legitimní podezřelý.

Krok 2: omezte změnu IPv6 na jeden adaptér

Změna patří adaptéru, ne počítači. Ve vlastnostech adaptéru Windows to znamená odškrtnout Internet Protocol Version 6 (TCP/IPv6) na konkrétním rozhraní a z příkazového shellu je to Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Stav ověřte pomocí Get-NetAdapterBinding -ComponentID ms_tcpip6 před opětovným připojením. Poté se znovu připojte a sledujte, zda ukazatel projde přes 98 %, místo aby se na něm zastavil.

Nejprve vymezte rozsah, pak testujte. Globální vypnutí IPv6 je větší změna, než otázka vyžaduje, a ovlivní služby, které jste nechtěli zasáhnout.

Krok 3: ověřte, co zaseknutí skrývalo

Tunel, který se připojí, není tunel, který funguje. Zkontrolujte adresu, kterou klient přiřadil, trasy, které profil nainstaloval, a překlad jmen pro jeden interní host: Resolve-DnsName files.corp.example. Klient, který se připojí a nic nepřeloží, má problém s DNS, a to se snadno chybně přečte jako návrat stejné závady.

Otestujte jeden interní prostředek podle jména a jeden veřejný cíl, aby si rozbitý split tunel nespletli s opraveným klientem.

Krok 4: udělejte opravu opakovatelnou

Pokud se nastavení musí dostat do celé flotily, dejte je do instalačního balíčku nebo do konfigurace adaptéru, ne do ručního kroku opakovaného na každém notebooku. Do tiketu zapište, že zaseknutí na 98 % souviselo s IPv6 na síťovém rozhraní, a poznamenejte, co dalšího na hostiteli na IPv6 záviselo, než ho někdo znovu zapne, aby opravil něco nesouvisejícího.

Oprava, která existuje jen v paměti jednoho inženýra, je oprava, která se příští čtvrtletí vrátí.

Pokud se ukazatel i s vypnutou IPv6 stále zastavuje na 98 %, poznámka výrobce to už nevysvětluje a protokol je váš další důkaz. Přestaňte léčit symptom a vraťte se k počitadlu fází.