Welche RRAS-Standortschnittstelle wählt ein eingehender Tunnel?
RRAS wählt eine eingehende Standortschnittstelle nach Peer-Adresse, Benutzername oder Zertifikatssubjekt, daher lesen Sie diesen Schlüssel getrennt von den Zuständen aktiviert und verbunden.
Auf einem Windows-Server mit mehreren Standort-zu-Standort-Schnittstellen ist eine Konsolenbezeichnung nicht nur ein Hinweis für Menschen. RRAS nutzt ein bestimmtes Feld aus der eingehenden Verbindung, um zu entscheiden, welche logische Schnittstelle antwortet, und dieses Feld ändert sich mit der Authentifizierungsmethode. Wählen Sie den Schlüssel falsch, benennen Sie Schnittstellen um, bis sich zufällig etwas verbindet. Auswahlregel, Verwaltungszustand und Sitzungszustand sind drei getrennte Tatsachen, und nur eine davon betrifft die Benennung.
Der Mythos: eine umbenannte Schnittstelle passt zu allem
Die verlockende Korrektur, wenn eine Filiale keine Verbindung bekommt, besteht darin, eine Standortschnittstelle anzulegen oder umzubenennen, bis sie dem Aufrufer ähnelt. Das funktioniert für eine Authentifizierungsmethode und scheitert stillschweigend bei den anderen, weshalb dasselbe Verfahren mit widersprüchlichen Ergebnissen weitergegeben wird. Eine Standortschnittstelle ist ein logisches Verbindungsobjekt mit eigenem Ziel, geschützten Präfixen und Zustand. Sie ist nicht der physische Adapter, der die verschlüsselten Pakete trägt, ein Blick auf Netzwerkadapter sagt also nichts darüber, welches Standortobjekt ausgewählt wurde.
Die Auswahl hat auch nichts mit gewöhnlichen Benutzern des Remotezugriffs zu tun. Wenn VPN-Clients von Mitarbeitern einwählen, haben sie eine andere Rolle, und ihre Benutzernamen nehmen an dieser Zuordnung nie teil. Bestätigen Sie, zu welcher Rolle der Aufrufer gehört, bevor Sie etwas in einen vertrauten Namen hineinlesen.
Drei Authentifizierungsformen, drei Auswahlschlüssel
Mit einem vorab geteilten Schlüssel wird die konfigurierte Zieladresse der Schnittstelle mit der Adresse des eingehenden Peers verglichen. Die Bezeichnung kann beliebig sein, weil die Adresse die Entscheidung trägt. Bei benutzernamenbasierter Authentifizierung wird der Schnittstellenname mit dem vom Aufrufer vorgelegten Benutzernamen verglichen. Hier ist die Bezeichnung der Schlüssel, und genau deshalb kann eine Umbenennung einen Standort zu reparieren und einen anderen zu brechen scheinen.
Bei Zertifikaten wird der Schnittstellenname mit dem Subjektnamen im vorgelegten Zertifikat verglichen. Der Name muss zu diesem Subjekt passen, und eine hübsche, von einem Betreiber erfundene Bezeichnung genügt nicht.
Daraus folgen zwei Konsequenzen. In der Anordnung mit vorab geteiltem Schlüssel kann für ein bestimmtes Ziel nur eine Schnittstelle aktiviert sein, zwei Filialen, die sich eine beobachtete öffentliche Adresse teilen, können also nicht beide über doppelte Einträge bedient werden. Und es gilt die Methode, die Sie tatsächlich konfiguriert haben, unabhängig davon, was die Konsole nahelegt.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Aktiviert ist nicht verbunden
Der Verwaltungsstatus sagt, ob die logische Schnittstelle arbeiten darf. Der Verbindungszustand sagt, ob gerade eine Sitzung besteht. Eine aktivierte Schnittstelle ohne Sitzung ist ein normaler Ruhezustand für eine Wählverbindung auf Anforderung, und sie als Fehler zu melden schickt Leute auf die Suche nach einem Ausfall, den es nicht gibt.
Verwenden Sie eine benannte Suche oder die dokumentierte Suche in der Routingdomäne, aber nicht beide Parameter zusammen, und führen Sie sie im vorgesehenen Serverkontext aus. Fehlt die erwartete Schnittstelle in der ersten Auflistung, liegt das Problem vor dem Zustand: Es wurde überhaupt nichts ausgewählt.
Lesen Sie das Paar zusammen statt isoliert. Eine Verbindung, die etabliert bleiben soll und getrennt anzeigt, verdient eine Untersuchung, während eine untätige Wählverbindung, die bei Bedarf verbindet, sich wie entworfen verhält. Eine administrativ deaktivierte Schnittstelle bleibt unterdessen dunkel, egal wie oft die Gegenseite ihren Router neu startet.
Keiner der beiden Werte beweist, dass die Authentifizierung gelungen ist, dass der ausgehandelte Schutz übereinstimmt, dass Routen installiert wurden oder dass die private Anwendung zulässig ist. Das sind vier verschiedene Fragen mit vier verschiedenen Antworten.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLesen Sie die Identitätstransaktion, bevor Sie irgendetwas aktivieren
Wenn ein eingehender Aufrufer auf eine Schnittstelle abgebildet wird, die Sie nicht erwartet haben, ist der nützliche Beleg die vorgelegte Identität, nicht die Liste der deaktivierten Schnittstellen. Holen Sie die letzten Remotezugriffsereignisse und lesen Sie die Adresse des Aufrufers, das Authentifizierungsergebnis und den Namen der ausgewählten Schnittstelle. Eine deaktivierte Schnittstelle kann ein bewusst stillgelegter Standort oder ein gesperrter Partner sein. Sie zu aktivieren, um zu sehen, ob ein Anmeldefehler verschwindet, ist eine Konfigurationsänderung mit Folgen für Routing und Zugriff, leiten Sie die Entscheidung daher über den Eigentümer dieser Standortbeziehung, zusammen mit Ziel, geschützten Präfixen und Richtlinie.
Ist die Zuordnung wirklich falsch, korrigieren Sie den Schlüssel statt des Symptoms: Korrigieren Sie das Zertifikatssubjekt oder im Benutzernamenfall den Schnittstellennamen und im Fall des vorab geteilten Schlüssels das Ziel. Verbinden Sie sich dann einmal neu und bestätigen Sie, dass derselbe Aufrufer jetzt das beabsichtigte Objekt auswählt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Schließen Sie die Schleife mit einer erlaubten Operation
Ein grüner Zustand ist keine Abnahme. Sobald die richtige Schnittstelle ausgewählt ist, erzeugen Sie Verkehr, den das Design zulässt, von einem Host in einem geschützten Präfix zu einem Host im anderen, und bestätigen Sie, dass die Antwort über denselben Pfad zurückkommt. Führen Sie denselben Versuch von einem Host aus, der abgelehnt werden sollte, mit Test-NetConnection -ComputerName 10.44.2.10 -Port 445 gegen einen Dienst, den das Design ausschließt, und lesen Sie die Remotezugriffsereignisse erneut. Eine Standortverbindung, die mehr als ihre vorgesehenen Präfixe trägt oder für einen Dienst antwortet, den die Richtlinie ausschließt, ist ein Routingfehler, den keine Zustandsprüfung aufdeckt.
Halten Sie Authentifizierungsmethode, Auswahlschlüssel und erlaubte Präfixe zusammen im Betriebshandbuch des Standorts fest. Der nächste Ingenieur trifft dieselbe Tabelle mit drei Werten, und die Namenskonvention ergibt erst Sinn, wenn dieser Kontext schriftlich vorliegt.