FortiClient hænger på 98 %: slå IPv6 fra på den adapter

Bjælken når 98 %, klienten bliver siddende, og det ændrer intet at skrive adgangskoden igen. Det er det nyttige spor: klienten har allerede accepteret gatewayens certifikat, sendt legitimationsoplysninger og modtaget en tunnelkonfiguration. Det, der mangler, er at rejse den virtuelle adapter og bekræfte, at tunnelen bærer trafik. Når det sidste trin aldrig fuldføres, er fejlen lokal, og ingen mængde genindtastning af oplysninger når den.

Fire trin, og det første er at læse loggen frem for bjælken.

Hvad 98 %-tælleren egentlig rapporterer

Procenten er klientens egen trintæller, ikke et mål for gennemstrømning. En stilstand på samme tal ved hvert forsøg betyder, at klienten når et bestemt trin og venter; derfor ser en langsom forbindelse og en fastlåst klient forskellige ud i loggen. Et problem med legitimationsoplysninger ville udskrive en fejl om dem i stedet for en tavs pause.

Fortinet har dokumenteret dette symptom mod én årsag på klientsiden: IPv6 slået til på den adapter, klienten bruger. Det gør adapterindstillingen til det første, man bør teste, ikke en universel forklaring på enhver SSL-VPN stilstand.

Trin 1: læs loggen før bjælken

Før du ændrer noget, skal du fange linjerne umiddelbart før stilstanden. Du leder efter, om tunneladapteren blev oprettet, om der blev tildelt en adresse, og om klienten gav op med at vente på en adressefamilie. En stilstand ved en anden procentdel er et andet trin med sin egen diagnose, og en certifikatadvarsel eller en forkert gatewayadresse giver sin egen meddelelse i stedet for en tavs venten. Skriv tidsstemplet ned, fordi næste forsøg føjer endnu en blok til samme fil.

Hvis loggen viser et fuldført login efterfulgt af intet, er du i lokal opsætning, og adapteren er en legitim mistænkt.

Trin 2: begræns IPv6-ændringen til én adapter

Ændringen hører til adapteren, ikke maskinen. I Windows' adapteregenskaber betyder det at fjerne markeringen i Internet Protocol Version 6 (TCP/IPv6) på den pågældende grænseflade, og fra en shell er det Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Bekræft tilstanden med Get-NetAdapterBinding -ComponentID ms_tcpip6 før du tilslutter igen. Tilslut derefter igen, og se, om bjælken passerer 98 %, i stedet for at stoppe på den.

Afgræns først, test så. At slå IPv6 fra globalt er en større ændring, end spørgsmålet kræver, og det påvirker tjenester, du ikke havde tænkt dig at røre.

Trin 3: bekræft, hvad stilstanden skjulte

En tunnel, der forbinder, er ikke en tunnel, der virker. Kontrollér den adresse, klienten tildelte, de ruter profilen installerede, og navneopløsning for én intern vært: Resolve-DnsName files.corp.example. En klient, der forbinder og ikke opløser noget, har et DNS-problem, og det er let at fejllæse som den samme fejl, der vender tilbage.

Test én intern ressource ved navn og én offentlig destination, så en ødelagt split tunnel ikke forveksles med en rettet klient.

Trin 4: gør rettelsen gentagelig

Hvis indstillingen skal ud til en hel flåde, skal den i udrulningspakken eller i adapterkonfigurationen i stedet for i et manuelt trin, der gentages på hver bærbar. Notér i sagen, at stilstanden ved 98 % hang sammen med IPv6 på netværksgrænsefladen, og skriv, hvad der ellers på værten afhang af IPv6, før nogen slår det til igen for at rette noget uden relation.

En rettelse, der kun findes i én ingeniørs hukommelse, er en rettelse, der vender tilbage næste kvartal.

Hvis bjælken stadig stopper ved 98 % med IPv6 slået fra, forklarer leverandørens note det ikke længere, og loggen er dit næste bevis. Hold op med at behandle symptomet, og gå tilbage til trintælleren.