Které rozhraní lokality RRAS si vybere příchozí tunel?
RRAS vybírá příchozí rozhraní lokality podle adresy protějšku, uživatelského jména nebo subjektu certifikátu, takže tento klíč čtěte odděleně od stavů povoleno a připojeno.
Na serveru Windows s několika mezilokalitními rozhraními není popisek v konzoli jen poznámkou pro lidi. RRAS používá konkrétní pole z příchozího připojení, aby rozhodl, které logické rozhraní odpoví, a toto pole se mění s metodou ověřování. Spletete-li klíč, budete rozhraní přejmenovávat, dokud se něco nepřipojí náhodou. Pravidlo výběru, administrativní stav a stav relace jsou tři oddělené skutečnosti a jen jedna z nich je o pojmenování.
Mýtus: přejmenované rozhraní bude odpovídat čemukoli
Lákavá oprava, když se pobočka nemůže připojit, je vytvořit nebo přejmenovat rozhraní lokality, dokud nebude vypadat jako volající. To funguje pro jednu metodu ověřování a tiše selhává u ostatních, a proto se stejný postup předává s protichůdnými výsledky. Rozhraní lokality je logický objekt připojení s vlastním cílem, chráněnými předponami a stavem. Není to fyzický adaptér, který přenáší šifrované pakety, takže pohled na síťové adaptéry vám nic neřekne o tom, který objekt lokality byl vybrán.
Výběr také nemá nic společného s běžnými uživateli vzdáleného přístupu. Pokud se připojují klientské VPN zaměstnanců, mají jinou roli a jejich uživatelská jména se tohoto mapování nikdy neúčastní. Potvrďte, do které role volající patří, než z nalezeného názvu cokoli vyvodíte.
Tři podoby ověřování, tři klíče výběru
U předem sdíleného klíče se nakonfigurovaná cílová adresa rozhraní porovnává s adresou příchozího protějšku. Popisek může být cokoli, protože rozhodnutí nese adresa. U ověřování podle uživatelského jména se název rozhraní porovnává s uživatelským jménem, které volající předloží. Tady je popisek klíčem, a právě proto může přejmenování vypadat, že jednu lokalitu opraví a jinou rozbije.
U certifikátů se název rozhraní porovnává s názvem subjektu v předloženém certifikátu. Název musí tomuto subjektu odpovídat a hezký popisek vymyšlený operátorem nebude stačit.
Z toho plynou dva důsledky. V uspořádání s předem sdíleným klíčem lze pro daný cíl povolit jen jedno rozhraní, takže dvě pobočky sdílející jednu pozorovanou veřejnou adresu nemohou být obě obslouženy duplicitními záznamy. A platí ta metoda, kterou jste skutečně nakonfigurovali, ať konzole nabízí cokoli.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Povoleno není připojeno
Administrativní stav říká, zda logické rozhraní smí pracovat. Stav připojení říká, zda právě teď existuje relace. Povolené rozhraní bez relace je normální klidový stav pro spoj vytáčený na požádání a hlášení jako poruchy posílá lidi za výpadkem, který neexistuje.
Použijte vyhledání podle názvu nebo dokumentované vyhledání podle domény směrování, ale ne oba parametry současně, a spouštějte je v zamýšleném kontextu serveru. Pokud očekávané rozhraní v prvním výpisu chybí, problém je před stavem: nebylo vybráno vůbec nic.
Čtěte dvojici společně, ne izolovaně. Spoj, který má zůstat navázaný a jeví se jako odpojený, si zaslouží šetření, kdežto nečinný spoj na požádání, který se připojuje podle potřeby, se chová podle návrhu. Administrativně zakázané rozhraní mezitím zůstane tmavé, ať protistrana restartuje svůj směrovač sebevíc.
Ani jedna z hodnot nedokazuje, že ověření proběhlo úspěšně, že vyjednaná ochrana odpovídá, že byly nainstalovány trasy nebo že je privátní aplikace povolena. To jsou čtyři různé otázky se čtyřmi různými odpověďmi.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStatePřečtěte transakci identity, než cokoli povolíte
Když se příchozí volající namapuje na rozhraní, které jste nečekali, užitečným důkazem je identita, kterou předložil, nikoli seznam zakázaných rozhraní. Vytáhněte nedávné události vzdáleného přístupu a přečtěte adresu volajícího, výsledek ověření a název vybraného rozhraní. Zakázané rozhraní může být záměrně vyřazená lokalita nebo zakázaný partner. Povolit ho, abyste viděli, zda jedna chyba přihlášení zmizí, je změna konfigurace s důsledky pro směrování a přístup, proto rozhodnutí protáhněte vlastníkem tohoto vztahu lokality, spolu s jeho cílem, chráněnými předponami a zásadami.
Pokud je mapování skutečně špatné, opravte klíč, ne symptom: opravte subjekt certifikátu nebo název rozhraní v případě uživatelského jména a cíl v případě předem sdíleného klíče. Pak se jednou znovu připojte a potvrďte, že stejný volající nyní vybírá zamýšlený objekt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Uzavřete smyčku povolenou operací
Zelený stav není přijetí. Jakmile je vybráno správné rozhraní, vygenerujte provoz, který návrh dovoluje, z hostitele v jedné chráněné předponě na hostitele v druhé, a potvrďte, že odpověď se vrací stejnou cestou. Stejný pokus proveďte z hostitele, který má být odmítnut, pomocí Test-NetConnection -ComputerName 10.44.2.10 -Port 445 proti službě, kterou návrh vylučuje, a znovu přečtěte události vzdáleného přístupu. Spoj lokality, který nese víc než zamýšlené předpony nebo odpovídá službě, kterou zásady vylučují, je chyba směrování, kterou žádná kontrola stavu neodhalí.
Zapište metodu ověřování, klíč výběru a povolené předpony společně do provozní příručky lokality. Další inženýr narazí na stejnou tabulku se třemi hodnotami a konvence pojmenování dává smysl teprve tehdy, když je tento kontext zapsán.