Mae porth ym maes cyfeiriad VPN Windows yn gweithio ar gyfer SSTP yn unig

Mae gweinydd VPN yn ateb ar TCP 10443, mae gan gleient adeiledig Windows y manylion mewngofnodi cywir, ac mae’r cysylltiad yn dal i farw ar ôl seibiant sy’n edrych fel cyfyngiad amser DNS. Yr achos fel arfer yw’r maes cyfeiriad: mae teipio vpn.example.com:10443 yn Enw gweinydd neu gyfeiriad yn gwneud i Windows ddarllen y llinyn cyfan fel enw gwesteiwr, oherwydd nid yw’r blwch hwnnw’n fewnbwn host:port cyffredinol. Mae a ellir mynegi porth yno o gwbl yn dibynnu ar y math o dwnnel y mae’r proffil yn ei ddefnyddio, a dim ond un o’r pedwar math sy’n trin y gwerth fel rhywbeth y gall ei ddadansoddi.

Pam nad yw’r maes cyfeiriad yn flwch host:port

Y nodwedd proffil y tu ôl i’r maes hwnnw yw ServerAddress, ac mae pob math o dwnnel yn penderfynu beth mae’n ei wneud â’r llinyn. Nid oes gan dri ohonynt unrhyw baramedr porth i’w lenwi, felly dim ond cymeriadau mewn enw na fydd byth yn datrys yw colon a rhif. Mae’r pedwerydd yn rhedeg dros HTTPS, lle mae porth yn rhan o’r URL, felly rhaid ysgrifennu’r gwerth ar ffurf sy’n dadansoddi fel un.

Dyna pam mae’r methiant yn edrych fel datrysiad enw yn hytrach na chysylltiad wedi’i wrthod. Nid oes porth drwg i’w adrodd, dim ond enw gwesteiwr nad yw’n bodoli, ac mae’r gwall yn cyrraedd ar ôl i’r datryswr roi’r gorau iddi. Cyn i chi gyffwrdd â’r gweinydd, gwiriwch pa fath o dwnnel y mae’r proffil yn honni ei ddefnyddio.

Y tri math â phorth sefydlog

Mae PPTP yn cysylltu â TCP 1723 ac yna’n cario’r twnnel mewn GRE, protocol IP 47. Mae L2TP/IPsec yn defnyddio UDP 1701 ar gyfer y twnnel ac UDP 500 a 4500 ar gyfer IPsec, gyda 4500 yn borth trawseiddiad NAT. Mae IKEv2 yn defnyddio UDP 500 a 4500 hefyd. Nid oes unrhyw un o’r proffiliau hynny’n datgelu maes porth yn unlle yn y rhyngwyneb, ac ni fydd yr un yn negodi un annatod.

Felly mae gweinydd sy’n gwrando ar borth addasedig yn anhygyrch i’r proffiliau hynny ni waeth sut y mae’r cyfeiriad wedi’i ysgrifennu. Mae’r atebion ymarferol yn gul: cyhoeddwch y porth safonol ar y gweinydd, neu trosiadwch y porth safonol i’r un addasedig ar y llwybrydd o’i flaen. Mae’r ddau’n cadw proffil y cleient yn gyfan, sy’n werth llawer pan fydd y proffil yn cael ei ddefnyddio trwy bolisi yn hytrach na’i deipio â llaw.

Mae SSTP angen URL, nid enw

SSTP yw’r eithriad oherwydd ei fod yn rhedeg o fewn sesiwn TLS. Rhaid i’r maes ddadansoddi fel URL: y cynllun https:// yn gyntaf, yna’r gwesteiwr, yna colon a’r porth. Heb y cynllun, mae Windows yn parhau i drin y gwerth fel enw plaen ac mae’r cysylltiad yn methu cyn i unrhyw gyfnewid TLS ddigwydd.

Y rheswm y mae hyn yn synnu pobl yw bod y porth rhagosodedig yn derbyn yr enw gwesteiwr noeth. Nid yw proffil na fu erioed angen porth addasedig byth yn dysgu’r rheol, ac mae’r person cyntaf sy’n ychwanegu un yn ei ddarganfod drwy fethu. Ar ôl arbed, darllenwch y gwerth a storiwyd yn ôl yn hytrach na choelio’r deialog:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

Mae ServerAddress yn dangos yn union yr hyn a storiwyd. Os yw’n darllen fel enw gwesteiwr noeth gyda colon ynddo, nid yw’r proffil erioed wedi derbyn URL ac ni fydd unrhyw faint o ailgeisio yn ei drwsio.

Cystrawen gwerthwyr sy’n cael ei gludo i’r un blwch

Mae rhai pyrth yn dogfennu confensiynau ychwanegol ar gyfer y maes hwnnw, fel realm a ychwanegir ar ôl y porth neu baramedrau ymholiad sy’n newid trin tystysgrifau. Fe’u deellir gan weinydd y gwerthwr hwnnw ac, mewn rhai adeilediadau, gan ei gleient ei hun. Nid ydynt yn rhan o fformat proffil Windows, ac mae eu gludo i broffil adeiledig fel arfer yn cynhyrchu’r un methiant enw tawel.

Triniwch baramedr sy’n analluogi dilysu tystysgrifau fel rhybudd yn hytrach nag fel atgyweiriad. Os yw proffil yn cysylltu dim ond â’r paramedr hwnnw, nid yw’r dystysgrif yn cyd-fynd â’r enw sy’n cael ei ddefnyddio, ac mae’r atgyweiriad cywir ar y porth, nid yn y cleient. Mae gan realm ar ôl y porth yr un nodwedd: dim ond os yw’r gweinydd ar yr ochr arall yn ei ddisgwyl y mae’n gwneud rhywbeth.

Profwch y porth, yna darllenwch y cam sy’n methu

Cadarnhewch fod rhywbeth yn derbyn TCP ar y porth hwnnw o rwydwaith y cleient cyn beio’r proffil:

Test-NetConnection vpn.example.com -Port 10443

Mae llwyddiant yn profi gwrandawr, nid SSTP. Gall gweinydd gwe, dirprwy gwrthdro neu falansydd llwyth gwblhau’r ysgwyd llaw TCP ac eto heb siarad SSTP, felly mae prawf gwyrdd gyda VPN coch yn gyfuniad go iawn. Cymharwch destun y dystysgrif â’r enw yn y proffil, a gwiriwch log RasClient ar adeilediadau sy’n ei gludo, oherwydd mae’n cofnodi’r cam a fethodd yn lle cyfyngiad amser cyffredinol.

Yna ystyriwch yr opsiwn sy’n cael gwared ar y broblem yn lle ei dogfennu: anfonwch TCP 443 o’r tu allan i 10443 ar y gweinydd VPN. Wedyn mae’r cleient yn defnyddio’r proffil rhagosodedig heb borth o gwbl, sydd fel arfer y trefniant glanaf ar gyfer fflyd wedi’i rheoli ac yn gadael y porth addasedig yn fanylyn mewnol.