Hvilken RRAS-webstedsgrænseflade vælger en indgående tunnel?
RRAS vælger en indgående webstedsgrænseflade ud fra peer-adresse, brugernavn eller certifikatets emne, så læs den nøgle adskilt fra tilstandene aktiveret og forbundet.
På en Windows-server med flere websteder-til-websteder-grænseflader er en etiket i konsollen ikke bare en note til mennesker. RRAS bruger et bestemt felt fra den indgående forbindelse til at afgøre, hvilken logisk grænseflade der svarer, og det felt ændrer sig med godkendelsesmetoden. Tager du nøglen forkert, vil du omdøbe grænseflader, indtil noget forbindes ved held. Udvælgelsesreglen, den administrative tilstand og sessionstilstanden er tre adskilte kendsgerninger, og kun én af dem handler om navngivning.
Myten: en omdøbt grænseflade matcher hvad som helst
Den fristende løsning, når en filial ikke kan forbinde, er at oprette eller omdøbe en webstedsgrænseflade, indtil den ligner den kaldende. Det virker for én godkendelsesmetode og svigter stille for de andre, og derfor videresendes den samme fremgangsmåde med modstridende resultater. En webstedsgrænseflade er et logisk forbindelsesobjekt med sin egen destination, beskyttede præfikser og tilstand. Den er ikke den fysiske adapter, der bærer de krypterede pakker, så et kig på netværksadaptere fortæller dig intet om, hvilket webstedsobjekt der blev valgt.
Valget har heller intet at gøre med almindelige fjernadgangsbrugere. Hvis medarbejderes VPN-klienter ringer ind, har de en anden rolle, og deres brugernavne deltager aldrig i denne mapping. Bekræft, hvilken rolle den kaldende har, før du læser noget ind i et velkendt navn.
Tre godkendelsesformer, tre udvælgelsesnøgler
Med en forud delt nøgle sammenlignes grænsefladens konfigurerede destinationsadresse med adressen på den indgående peer. Etiketten kan være hvad som helst, fordi adressen bærer beslutningen. Med brugernavnsbaseret godkendelse sammenlignes grænsefladens navn med det brugernavn, den kaldende præsenterer. Her er etiketten nøglen, og det er netop derfor, en omdøbning kan se ud til at rette det ene websted og ødelægge det andet.
Med certifikater sammenlignes grænsefladens navn med emnenavnet i det præsenterede certifikat. Navnet skal svare til det emne, og en pæn etiket, som en operatør finder på, duer ikke.
Der følger to konsekvenser. I ordningen med forud delt nøgle kan kun én grænseflade være aktiveret for en given destination, så to filialer, der deler én observeret offentlig adresse, kan ikke begge betjenes af dublerede poster. Og den metode, du faktisk har konfigureret, er den, der styrer, uanset hvad konsollen antyder.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Aktiveret er ikke forbundet
Administrativ status siger, om den logiske grænseflade må arbejde. Forbindelsestilstand siger, om der findes en session lige nu. En aktiveret grænseflade uden session er en normal hviletilstand for et forbindelse efter behov, og at rapportere det som en fejl sender folk på jagt efter et udfald, der ikke er der.
Brug et navngivet opslag eller det dokumenterede opslag i routingdomænet, men ikke begge parametre sammen, og kør det i den tilsigtede serverkontekst. Hvis den grænseflade, du forventer, mangler i den første liste, ligger problemet før tilstanden: der blev slet ikke valgt noget.
Læs parret sammen i stedet for isoleret. Et link, der skal forblive etableret og viser afbrudt, fortjener undersøgelse, mens et ledigt link efter behov, der forbinder ved behov, opfører sig som designet. I mellemtiden vil en administrativt deaktiveret grænseflade forblive mørk, uanset hvor mange gange den fjerne side genstarter sin router.
Ingen af værdierne beviser, at godkendelsen lykkedes, at den forhandlede beskyttelse stemmer, at ruter blev installeret, eller at det private program er tilladt. Det er fire forskellige spørgsmål med fire forskellige svar.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLæs identitetstransaktionen, før du aktiverer noget
Når en indgående kaldende mapper til en grænseflade, du ikke forventede, er det nyttige bevis den identitet, den præsenterede, ikke listen over deaktiverede grænseflader. Hent de seneste fjernadgangshændelser og læs den kaldendes adresse, godkendelsesresultatet og navnet på den valgte grænseflade. En deaktiveret grænseflade kan være et bevidst nedlagt websted eller en forbudt partner. At aktivere den for at se, om én loginfejl forsvinder, er en konfigurationsændring med konsekvenser for routing og adgang, så send beslutningen gennem ejeren af det webstedsforhold, sammen med dets destination, beskyttede præfikser og politik.
Hvis mappingen virkelig er forkert, så ret nøglen i stedet for symptomet: ret certifikatets emne eller grænsefladens navn i brugernavnstilfældet, og ret destinationen i tilfældet med forud delt nøgle. Genopret derefter forbindelsen én gang, og bekræft, at samme kaldende nu vælger det tilsigtede objekt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Luk kredsløbet med en tilladt operation
En grøn tilstand er ikke en accept. Når den rigtige grænseflade er valgt, generér trafik, som designet tillader, fra en vært i ét beskyttet præfiks til en vært i det andet, og bekræft, at svaret vender tilbage ad samme vej. Kør samme forsøg fra en vært, der bør afvises, ved hjælp af Test-NetConnection -ComputerName 10.44.2.10 -Port 445 mod en tjeneste, som designet udelukker, og læs fjernadgangshændelserne igen. Et webstedslink, der bærer mere end sine tilsigtede præfikser, eller som svarer for en tjeneste, politikken udelukker, er en routingfejl, som ingen tilstandskontrol vil afsløre.
Skriv godkendelsesmetoden, udvælgelsesnøglen og de tilladte præfikser ned sammen i webstedets driftshåndbog. Den næste ingeniør vil møde den samme tabel med tre værdier, og navngivningskonventionen giver kun mening, når den kontekst er skrevet ned.