Mae VPN adeiledig Windows yn methu cyrraedd porth SSL gwerthwr: pam

Mae Windows yn cynnwys pedwar math o dwnnel, ac nid porth SSL gwerthwr yw un ohonynt. Pwyntiwch broffil adeiledig at un beth bynnag, a bydd y cysylltiad yn methu cyn yr anogwr cymwysiad, fel arfer gyda neges bod y cysylltiad wedi’i derfynu gan y system leol. Mae’r testun hwnnw’n arwydd o gamgydymffurfiad yn hytrach na diagnosis. Rhaid i fath y proffil a’r cleient sy’n berchen ar y protocol gyd-fynd, ac mae un ohonynt ar goll.

Pedwar math ac un deialog

Mae pob proffil a gedwir yn cario math o dwnnel. Mae’r cleient adeiledig yn derbyn PPTP, L2TP, IKEv2 a SSTP, ynghyd â modd awtomatig sy’n eu rhoi ar brawf yn eu tro. Nid oes cofnod SSL VPN cyffredinol, ac nid oes ffordd i ychwanegu un drwy’r deialog. Mae porth gwerthwr yn siarad ei brotocol cymhwysiad ei hun dros TLS, ac mae cleient y gwerthwr hwnnw yn unig yn ei weithredu.

Mae’r rhestr un gorchymyn i ffwrdd, ac mae’n werth ei rhedeg cyn unrhyw ddatgryfedd arall oherwydd mae’n cymryd eiliad ac yn dileu dosbarth cyfan o dybiaethau anghywir:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Os yw’r proffil yn dweud SSTP ac nid yw’r porth yn weinydd RRAS, mae’r camgydymffurfiad eisoes yn sefydledig. Nid yw unrhyw waith tystysgrif na wal dân yn ei newid.

Mae SSTP a TLS gwerthwr yn edrych yn debyg ar borth 443

Mae SSTP yn lapio sesiwn PPP y tu mewn i TLS ac yn teithio ar TCP 443. Yn stac Microsoft mae RRAS yn ei derfynu, sy’n cyflwyno tystysgrif gweinydd y mae’r cleient yn ei dilysu. Mae dyfais Fortinet, Citrix neu Pulse hefyd yn terfynu TLS ar 443, ac mae ei phorth yn agor ym mhob porwr heb gwyn.

Mae’r prawf porwr hwnnw’n profi cyrraeddadwyedd, nid cydnawsedd. Mae protocol y sesiwn y tu ôl i’r porth yn perthyn i’r gwerthwr, ac nid oes gan y cleient adeiledig unrhyw weithrediad ohono. Mae p’un a yw’r gwerthwr yn cyflenwi ei gleient ei hun yn dweud wrthych pa hanner o’r camgydymffurfiad rydych yn ymdrin ag ef.

Mae’r dryswch gwrthdro yn digwydd hefyd. Gall proffil a ffurfweddwyd fel SSTP yn erbyn gweinydd RRAS go iawn fethu ar ddilysu tystysgrif tra bo’r porth yn iawn, sef problem tystysgrif ac nid problem protocol.

Gwallau sy’n ymddangos cyn bod twnnel yn bodoli

Adroddir codau cyfres 800 cyn i unrhyw dwnnel gael ei sefydlu, a dyna pam mae rheolau wal dân yn anaml yn eu symud. Gwall 812 yw polisi ochr y gweinydd sy’n gwrthod y dull dilysu a gynigiwyd gan y cleient. Daw’r lleill yn yr ystod o’r rheolwr cysylltiad lleol yn hytrach nag o’r rhwydwaith.

Trowch olrhain ymlaen cyn ailadeiladu unrhyw beth. Mae’r olrhain yn enwi’r cam sy’n methu, ac mae enw cam yn werth mwy na thestun y deialog:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Mae olrheiniadau’n glanio o dan y cyfeiriadur olrhain ac yn aros yno nes i chi eu clirio, felly diffoddwch olrhain wedyn yn hytrach na’i adael yn rhedeg am wythnosau.

Gall proffil cysylltiedig dorri popeth o hyd

Mae proffil sy’n cysylltu ac yna’n torri pori, rhannu lleol neu beiriant cynwysyddion yn cael problem llwybro, nid problem twnnel. Mae’r porth rhagosodedig wedi symud i’r twnnel, felly mae pob cyrchfan bellach yn mynd drwy gymar na fydd efallai’n ei llwybro.

Mae dau reolaeth yn penderfynu hyn. Un yw’r eiddo split tunneling ar y proffil. Y llall yw’r opsiwn fesul addasydd i ddefnyddio’r porth rhagosodedig ar y rhwydwaith anghysbell, sydd o dan osodiadau uwch IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Mae troi split tunneling ymlaen heb ychwanegu llwybrau yn cynhyrchu twnnel sy’n cysylltu ac yn cyrraedd dim. Mae ei droi i ffwrdd heb wirio DNS yn cynhyrchu enwau mewnol sy’n datrys i atebion cyhoeddus, oherwydd nid yw ôl-ddodiad a gweinyddwyr yr addasydd ei hun yn cael eu defnyddio.

Gwiriwch y plymwaith, yna’r math

Gweithiwch yn y drefn hon, a stopiwch pan fydd cam yn methu yn hytrach na thrwsio popeth ar unwaith:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Mae’r gorchymyn cyntaf yn gwahanu cyrraeddadwyedd oddi wrth brotocol. Mae’r ail yn cadarnhau beth mae’r proffil yn honni ei fod. Mae’r tabl llwybrau’n dangos a yw’r twnnel wedi dal y llwybr rhagosodedig. Mae’r gorchymyn deialu’n adrodd gwall y rheolwr cysylltiad ei hun, sydd yn aml yn gliriach na’r deialog.

Cofnodwch fath y twnnel, cynnyrch y porth a’r union wall yn y tocyn. Yna bydd y person nesaf yn gwybod o fewn munud ai camgydymffurfiad protocol, methiant tystysgrif neu benderfyniad llwybro yw hwn, yn hytrach na dechrau o “nid yw’r VPN yn gweithio”.