Vestavěná VPN ve Windows nedosáhne na SSL bránu dodavatele: proč

Windows přináší čtyři typy tunelů a brána dodavatele mezi nimi není. Namiřte vestavěný profil na takovou bránu a připojení selže ještě před výzvou k zadání údajů, obvykle se zprávou, že připojení ukončil místní systém. Tento text je signál nesouladu, ne diagnóza. Typ profilu a klient, který vlastní protokol, se musí shodovat, a jeden z nich chybí.

Čtyři typy a jeden dialog

Každý uložený profil nese typ tunelu. Vestavěný klient přijímá PPTP, L2TP, IKEv2 a SSTP, plus automatický režim, který je zkouší popořadě. Neexistuje obecná položka SSL VPN a dialogem ji nelze přidat. Brána dodavatele mluví vlastním aplikačním protokolem nad TLS, který implementuje jen klient tohoto dodavatele.

Seznam je vzdálený jeden příkaz a vyplatí se ho spustit před jakýmkoli dalším řešením problémů, protože zabere sekundu a odstraní celou třídu chybných předpokladů:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Pokud profil říká SSTP a brána není server RRAS, nesoulad je už prokázaný. Žádná práce s certifikáty ani firewallem to nezmění.

SSTP a TLS dodavatele vypadají na portu 443 stejně

SSTP obaluje relaci PPP do TLS a jede po TCP 443. V zásobníku Microsoftu ji ukončuje RRAS, který předkládá serverový certifikát, jenž klient ověřuje. Zařízení Fortinet, Citrix nebo Pulse také ukončuje TLS na 443 a jeho portál se otevře v každém prohlížeči bez stížnosti.

Tento test v prohlížeči dokazuje dostupnost, ne kompatibilitu. Relační protokol za portálem patří dodavateli a vestavěný klient nemá jeho implementaci. Zda dodavatel dodává vlastního klienta, vám řekne, se kterou polovinou nesouladu máte co do činění.

Opačná záměna se také děje. Profil nastavený jako SSTP proti skutečnému serveru RRAS může selhat na ověření certifikátu, i když je portál v pořádku, což je problém certifikátu, ne protokolu.

Chyby, které se objeví dřív, než tunel existuje

Kódy řady 800 se hlásí před vytvořením jakéhokoli tunelu, proto je pravidla firewallu málokdy ovlivní. Chyba 812 je serverová politika, která odmítá metodu ověřování nabídnutou klientem. Ostatní v rozsahu pocházejí z místního správce připojení, ne ze sítě.

Zapněte trasování, než cokoli přestavíte. Trasování pojmenuje selhávající fázi a jméno fáze má větší cenu než text v dialogu:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Trasování se ukládají do adresáře trasování a zůstávají tam, dokud je nevymažete, takže ho potom vypněte, místo abyste ho nechali běžet týdny.

Připojený profil může přesto rozbít všechno

Profil, který se připojí a pak rozbije prohlížení, místní sdílení nebo kontejnerový engine, má problém s routováním, ne s tunelem. Výchozí brána se přesunula do tunelu, takže každý cíl teď jde přes protějšek, který ho nemusí routovat.

Rozhodují o tom dvě ovládací prvky. Jedním je vlastnost split tunneling v profilu. Druhým je volba pro každý adaptér používat výchozí bránu ve vzdálené síti, která je v rozšířeném nastavení IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Zapnutí split tunneling bez přidání tras vytvoří tunel, který se připojí a k ničemu nedosáhne. Vypnutí bez kontroly DNS vytvoří interní jména, která se překládají na veřejné odpovědi, protože se nepoužívají vlastní přípona a servery adaptéru.

Ověřte propojení, pak typ

Postupujte v tomto pořadí a zastavte se, když krok selže, místo abyste ladili všechno najednou:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

První příkaz odděluje dostupnost od protokolu. Druhý potvrzuje, čím profil tvrdí, že je. Tabulka tras ukazuje, zda tunel zachytil výchozí trasu. Příkaz pro vytočení hlásí vlastní chybu správce připojení, která je často jasnější než dialog.

Zapište do tiketu typ tunelu, produkt brány a přesnou chybu. Další člověk pak během minuty ví, zda jde o nesoulad protokolu, selhání certifikátu nebo rozhodnutí o routování, místo aby začínal od “VPN nefunguje”.