Mae angen pwll IPv4 eu hunain a llwybr yn ôl ar gleientiaid VPN RRAS

Mae’r cleient VPN yn cysylltu ac yn derbyn cyfeiriad, ac eto ni all gwesteiwr y LAN y mae ei angen ei ateb. Yn Windows Routing and Remote Access, daw’r cyfeiriad mewnol ar gyfer cleientiaid VPN o bwll a ffurfweddir ar wahân i addasydd LAN y gweinydd, ac mae angen llwybr yn ôl i’r pwll hwnnw ar ochr y LAN. Dau newid, nid un, ac maent yn methu mewn ffyrdd gwahanol. Ewch drwyddynt yn eu tro fel bod y cynllun cyfeiriadau a’r llwybr yn ôl yn cael eu profi cyn i’r hen amrediadau gael eu tynnu’n ôl.

Cadwch yr amrediad cyn agor y consol

Dewiswch ragddodiad nad yw’n gorgyffwrdd â’r LAN, ag amrediadau VPN eraill nac ag unrhyw beth a lwybrir i’r safle. Mae /24 yn faint cyfleus ar gyfer prawf, a gellir rhoi’r rhan gyntaf y gellir ei defnyddio i gleientiaid tra bo’r gweddill yn rhydd ar gyfer twf. Ysgrifennwch ef gyda’i bwrpas a’i berchennog cyn ei deipio i gonsol. Gadewch le ar ddau ben y bloc fel na fydd holltiad diweddarach yn gorfodi ailrifo.

Mae cynllun cyfeiriadau sy’n byw mewn consol yn un ailadeiladwaith oddi wrth wrthdrawiad. Mae hefyd yn tueddu i dyfu: mae rhywun yn ychwanegu ail amrediad yn ddiweddarach ac nid oes neb yn gwirio’r cyntaf. Cadwch y cynllun wrth law’r ddogfennaeth gweinydd, nid mewn edau sgwrs.

Nid addasydd LAN y gweinydd sy’n diffinio’r pwll hwn. Mae newid y gwrandawr cyhoeddus neu ychwanegu addasydd at y LAN yn gwneud rhywbeth hollol wahanol. Dyna pam y gall cleientiaid gysylltu a chael cyfeiriad o’r lle anghywir o hyd. Mae’r pwll yn byw ym mhriodweddau IPv4 y gweinydd, nid yn y rhestr addaswyr.

Nid yw newid y dull yn ychwanegu amrediad

Mae gan RRAS ddull neilltuo a set o amrediadau. Symud o DHCP i bwll statig yw newid dull. Mae ychwanegu bloc arall tra bo’r pwll statig eisoes yn weithredol yn newid amrediad.

Rhagwelwch y ddwy weithred cyn rhedeg y naill na’r llall, a darllenwch pa un sy’n cyfateb i gyflwr presennol y gweinydd:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

Mae’r ail cmdlet yn methu neu’n cynhyrchu pwll na ellir ei ddefnyddio os yw’r gweinydd yn dal ar neilltuo DHCP. Mae’r cyntaf yn disodli’r dull yn hytrach nag ymestyn pwll presennol. Nid yw’r naill ragolwg yn gosod unrhyw beth, felly rhedwch yr un sy’n cyfateb, yna cadarnhewch y pwll sy’n deillio yn y consol. Os ydych yn ansicr ym mha gyflwr y mae’r gweinydd, darllenwch y dull neilltuo ar dudalen briodweddau IPv4 a rhestrwch yr amrediadau a ffurfweddiwyd:

Get-VpnIPAddressRange

Mae dull DHCP gyda rhestr amrediadau wag yn golygu bod y rhagolwg cyntaf yn berthnasol. Mae pwll cyfeiriadau statig gydag amrediad presennol yn golygu bod yr ail yn berthnasol.

Cyfrifwch am yr ailgychwyn gwasanaeth y gall y gosodiad ei olygu, a pheidiwch â chymryd yn ganiataol y bydd cleientiaid cysylltiedig yn cael eu hailrifo ar unwaith. Mae cleient sy’n cadw ei hen gyfeiriad nes iddo ailgysylltu yn ymddwyn yn normal. Cynlluniwch y newid ar gyfer ffenestr lle mae ailgysylltu yn dderbyniol.

Mae angen llwybr yn ôl ar y LAN

Tybiwch mai’r LAN yw 10.60.0.0/24 a bod gweinydd RRAS yn 10.60.0.10 arni. Mae angen llwybr at y pwll trwy weinydd RRAS ar westai yn y LAN hwnnw sy’n ateb cleient yn 10.250.50.0/24. Heb y llwybr hwnnw mae’r cais yn cyrraedd ac mae’r ateb yn marw.

Os mai router gwahanol yw porth rhagosodedig y gwesteiwr, mae angen y llwybr yn ôl ar gyfer y rhagddodiad VPN ar y router hwnnw. Nid yw llwybr statig ar weinydd RRAS yn helpu yma; rhaid i’r llwybr yn ôl fodoli ar y ddyfais sy’n berchen ar borth y LAN, felly ychwanegwch ef at y tabl llwybro neu at y broses llwybro deinamig, p’un bynnag a ddefnyddir gan y safle.

Gwiriwch wal dân y gwesteiwr ac unrhyw reolau mynediad rhwydwaith yn erbyn yr amrediad ffynhonnell newydd hefyd. Mae rheolau a ysgrifennwyd ar gyfer hen amrediad y cleientiaid yn gwrthod yr un newydd hyd yn oed ar ôl i’r neilltuo lwyddo. Mae llwybrau cleientiaid tuag at y LAN a chydraniad DNS yn ofynion ar wahân, a gall y ddau fethu tra bo’r tiwnel yn edrych yn iach. Profwch bob un ar ei ben ei hun.

Profwch y pwll newydd ar un ddyfais cyn tynnu’r hen un yn ôl

Cymerwch un awdurdodiad yr ydych yn ei reoli, ailgysylltwch, a darllenwch y cyfeiriad pwll a dderbyniodd y cleient. Mae’r un rhif hwnnw’n gwahanu dyraniad oddi wrth lwybro. Yna arferwch raglen a enwir, gwyliwch y traffig yn ôl, a cheisiwch gyrchfan y dylai aros yn wrthodedig. Tair arsylwad, tri math gwahanol o fethu.

Mae cydraniad enwau yn haeddu ei brawf ei hun: gall mynediad trwy IP weithio tra bo DNS y cleient yn dal i bwyntio at ddatryswr na all ei gyrraedd. Dim ond os oes gan y cleient lwybr ato ac os yw’r gweinydd yn derbyn ymholiadau o’r amrediad newydd y gellir cyrraedd gweinydd DNS ar y LAN. Mae’r ddau yn golledion cyffredin pan fo’r pwll yn symud.

Tynnwch hen amrediadau a’u heithriadau’n ôl dim ond ar ôl cyfrif am sesiynau gweithredol a’r broses gynnal a chadw. Mae cleient cysylltiedig â chyfeiriad newydd yn profi dyraniad, nid y polisi mynediad. Cadwch yr hen amrediad yn ddogfennol nes bod y sesiwn olaf a’i defnyddiodd wedi dod i ben.

Gwiriwch y canlyniad gyda thair arsylwad

Mae angen tri ffaith ar dderbyniad: bod gan y cleient gyfeiriad o’r pwll newydd, bod gwesteiwr LAN yn gallu ei gyrraedd a chael ateb, a bod cyrchfan wrthodedig yn dal yn wrthodedig. Mae gan bob un ei wiriad ei hun, felly mae methiant yn cyfeirio at ddyraniad, llwybro neu bolisi. Rhedwch hwy yn y drefn honno.

O’r cleient, cadarnhewch y cyfeiriad a’r llwybr at un gwesteiwr LAN:

ipconfig | findstr /i "IPv4"
route print -4

O’r gwesteiwr LAN, cadarnhewch y llwybr ateb a’r polisi mewn un pas. Os yw ping yn methu ond mae’r rhaglen yn gweithio, mae’r darn coll yn debygol o fod yn rheol ICMP yn hytrach na’r llwybr. Os yw’r ddau yn methu, darllenwch y llwybr ar y gwesteiwr cyn golygu’r VPN. Cofnodwch y tri chanlyniad yn y tocyn newid fel bod y person nesaf yn dechrau o dystiolaeth.