Gwerth cofrestr NAT-T Windows: gwirio’r topoleg yn gyntaf

Mae cysylltiad VPN Windows yn methu, mae chwiliad yn dychwelyd gwerth cofrestr, ac mae’r gwerth yn cael ei roi i mewn gydag ailgychwyn. Mae’r dilyniant hwnnw weithiau’n gweithio ac yn byth yn esbonio dim. Mae’r gosodiad dan sylw yn ateb un cwestiwn am leoliad y gweinydd mewn perthynas â dyfais NAT, ac nid yw’n ddiystyr nes i chi wybod pa brotocol a fethodd ac ar ba gam.

Beth mae’r gwerth yn ei ddewis mewn gwirionedd

Mae AssumeUDPEncapsulationContextOnSendRule yn pennu a fydd gweithrediad IPsec Windows yn ceisio cymdeithasu â chyfoedydd y tu ôl i ddyfais NAT. Nid yw’r rhagosodiad dogfennol 0 yn caniatáu’r achos hwnnw, mae 1 yn ei ganiatáu pan mai’r gweinydd yw’r ochr y tu ôl i NAT, ac mae 2 yn cwmpasu’r achos pan bennir y ddwy ochr. Datganiadau am y topoleg yw’r rhain — pwy sydd ble.

Wedi’u darllen fel dilyniant, mae’r rhifau’n disgrifio mwy o gyfieithu yn gynyddol, nid mwy o ddibynadwyedd yn gynyddol. Nid yw gosod 2 ar rwydwaith lle nad oes dim yn cael ei gyfieithu yn gwneud y cysylltiad yn gyflymach nac yn fwy sefydlog, ac nid yw’n trwsio methiant dilysu. Mae canllaw NAT Microsoft ar gyfer L2TP/IPsec yn dogfennu’r polisi a’i gyd-destun platfform hanesyddol. Cymharwch y cyd-destun hwnnw â fersiwn a rôl Windows rydych chi’n eu rhedeg go iawn, oherwydd nid yw dogfen sydd wedi goroesi sawl rhyddhau yn ddatganiad am bob adeiladwaith presennol.

Cydweddwch y topoleg cyn y rhif

Lluniwch y llwybr a nodwch y pwyntiau cyfieithu: a yw’r cleient y tu ôl i lwybrydd cartref, a yw’r gweinydd y tu ôl i gydbwysydd llwyth neu wal dân sy’n ailysgrifennu cyfeiriadau, ac a yw’r naill ben neu’r llall y tu ôl i gyfieithu cludydd nad ydych chi’n ei reoli. Dim ond ar ôl y llun hwnnw y gallwch benderfynu a yw’r gwerth yn berthnasol, ac i ba ben.

Mae’r honiad bod fersiynau Windows Server cyfredol yn syml yn dod â NAT traversal wedi’i analluogi yn rhy eang i weithredu arno. Yr hyn sy’n bwysig yw’r polisi ar eich system, y topoleg o’i flaen a’r cyfnewid a fethodd, yn y drefn honno. Os oes gan y ddau ben gyfeiriadau cyhoeddus, nid y gosodiad yw eich problem. Edrychwch ar y cynnig, y dystysgrif neu’r cyfrif yn lle hynny, a gadewch y gofrestr yn dawel.

Gwiriwch gam y methiant yn gyntaf

L2TP/IPsec yn cynhyrchu o leiaf dri methiant gwahanol: nid yw’r cyfoedydd yn cyrraeddadwy, ni ellir sefydlu diogelwch IPsec, ac mae dilysu defnyddiwr PPP yn cael ei wrthod ar ôl i’r twnnel fodoli. Ni ellir trwsio cyfrif a wrthodwyd drwy newid polisi NAT, ac ni ellir trwsio anghysondeb cynigion drwy ailgychwyn.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Mae amserlen heb unrhyw un yn ateb yn awgrymu cyrraeddadwyedd neu hidlo yn hytrach na pholisi. Mae gwrthodiad cyflym gyda neges cynnig yn cyfeirio at algorithmau. Mae methiant ar ôl i’r twnnel godi yn perthyn i gam dilysu, sef perchennog gwahanol a chyweiriad gwahanol.

Mae gan SSTP dros HTTPS ac IKEv2 brodorol eu cofnodion eu hunain a’u rheolaethau eu hunain. Nid oes dim ohonynt yn dod yn achos NAT-traversal dim ond oherwydd eu bod hefyd yn rhedeg ar Windows.

Gwnewch y newid gyda ffordd yn ôl

Os yw’r polisi dogfennol a’r topoleg a arsylwyd ill dau yn galw am hyn, cofnodwch y gwerth blaenorol, cymhwyswch y newid drwy’r ffurfweddiad a reolir yn hytrach na sgript fesul proffil, a chynlluniwch yr ailgychwyn. Ar weinydd sy’n cefnogi llwythi gwaith eraill, nid yw hwn yn olygiad diniwed.

Rhaid i’r ddyfais NAT o hyd gludo’r trafnidiaeth gaeedig a’r traffig dychwelyd. Nid yw gwerth cofrestr yn creu unrhyw reol anfon ymlaen, nid yw’n cysoni cynigion ac nid yw’n dilysu hunaniaeth, felly gall cysylltiad sy’n dechrau gweithio ar ôl y newid fod yn gweithio am reswm hollol wahanol. Ailbrofwch y protocol gwreiddiol gyda’r topoleg wreiddiol, yna nodwch pa gam a fethodd a pham y disgwylid i’r gwerth fynd i’r afael ag ef. Y frawddeg honno sy’n troi si ar y rhyngrwyd yn ffurfweddiad y gallwch ei amddiffyn.