GVC hænger på Acquiring IP: det er ikke et adgangskodeproblem

Global VPN Client står på Acquiring IP, og refleksen er at skrive adgangskoden igen eller geninstallere klienten. Ingen af delene rører det trin, der fejlede. Godkendelsen blev afsluttet, før klienten overhovedet bad om en adresse, så det er ikke legitimationsoplysningerne, der holder dig på den linje. Det, der holder dig der, er en DHCP-udveksling, som ikke er færdig, og den kan gå i stå tre forskellige steder.

Godkendelse og tildeling af adresse er adskilte trin

GVC beviser først, hvem du er, og anmoder derefter om indstillingerne til sin virtuelle adapter i henhold til den politik, der er tildelt din forbindelse. Det er sekventielle trin med forskellige fejlsignaturer. Dårlige legitimationsoplysninger fejler normalt tidligere, med en godkendelses- eller forhandlingsmeddelelse i stedet for adresselinjen.

Den rækkefølge forklarer, hvorfor en nulstilling af adgangskoden, en ny lokal bruger eller en geninstallation ikke ændrer noget her. Klienten er allerede autoriseret; den venter nu på en lease, som gatewayen eller dens DHCP-partner skal levere. Selv en politik, der tillader brugeren, men ikke tildeler noget adresseområde, giver præcis denne skærm.

Så det første nyttige spørgsmål er ikke, om legitimationsoplysningerne er rigtige, men hvilken politik der blev tildelt, og hvad den politik siger om adressering af den virtuelle adapter. Læs den effektive konfiguration for den forbindelse i stedet for en kollegas fungerende skærmbillede.

Hvor leasen faktisk kommer fra

To modeller er almindelige. Firewallen kan selv køre et DHCP-område til VPN-klienter, eller den kan videresende anmodningen til en ekstern DHCP-server på det interne netværk. Modellen afgør, hvilke logfiler der er vigtige, og hvem du skal ringe til.

I den interne model skal du kontrollere, at området stadig findes, hører til den rigtige grænseflade og har ledige leases. Et udtømt område giver en klient, der godkender perfekt og aldrig får en adresse, og gateway-loggen viser måske kun anmodningen. I relay-modellen skal relay-målet, ruten tilbage til VPN-klientområdet og enhver intern DHCP-godkendelse alle passe sammen.

Skriv ned, hvilken model din udrulning bruger, før du tester noget. Halvdelen af de modstridende råd online forudsætter den anden.

En tunnel kan være oppe og alligevel tabe leasen

En etableret kontrolforbindelse beviser, at forhandlingen virkede, ikke at tunneldata passerer begge veje. DHCP-udvekslingen har brug for anmodning og svar til at overleve datastien, og det er der, krypteringsindstillinger, politik for VPN-zonen og MTU-problemer bor.

Råd om NAT-traversal er det tydeligste eksempel på, at kontekst betyder noget. Nogle stier kræver det aktiveret, andre virker kun med det slået fra, og den mellemliggende NAT plus den forhandlede forbindelse afgør hvilken. At ændre det blindt, mens du også ændrer klientindstillinger, betyder, at du ikke ved, hvilken ændring der gav resultatet. Noter den forhandlede sti og beviserne, før du ændrer indkapslingen.

Genstart af hjemmeruteren hører i samme kategori. Det fjerner nogle gange symptomet, men det identificerer ikke, hvorfor leasen fejlede, og problemet vender tilbage ved næste forbindelse.

Gå lease-vejen igennem i rækkefølge

Start ved adapteren, og arbejd udad, så hvert trin kun kan fejle af én grund:

> Get-NetAdapter | Where-Object Name -like "*GVC*"
> ipconfig /all | findstr /i /c:"GVC" /c:"IPv4" /c:"DHCP"
> Test-NetConnection 10.60.0.1 -Port 443

En adresse som 169.254.x.x betyder, at adapteren findes og ikke fik noget svar overhovedet, hvilket peger på lease-kilden eller datastien. En korrekt adresse i VPN-området med forkerte DNS-poster er en anden fejl: leasen virkede, og politikken gav ufuldstændige indstillinger. En adapter, der aldrig dukker op, betyder, at klienten ikke nåede at oprette den.

Når der vises en lease, skal du prøve den faktiske ressource i stedet for at erklære sejr på adresselinjen. Hvis fil- eller intranetadgang stadig fejler, skal du beholde den vellykkede lease som bevis og gå videre til navneopløsning eller politik, fordi du har forladt den oprindelige fejl.

SonicWalls note om den virtuelle adapter lister flere separate grene, og dens ældre skærmbilleder bør ikke læses som det aktuelle menukort. Brug den til at bekræfte det trin, du nåede, ikke som en tjekliste, der skal anvendes i sin helhed.