Οι πελάτες VPN του RRAS χρειάζονται δική τους δεξαμενή IPv4 και δρόμο επιστροφής

Ο πελάτης VPN συνδέεται και λαμβάνει μια διεύθυνση, αλλά ο κεντρικός υπολογιστής LAN που χρειάζεται εξακολουθεί να μην μπορεί να του απαντήσει. Στο Windows Routing and Remote Access, η εσωτερική διεύθυνση για τους πελάτες VPN προέρχεται από μια δεξαμενή που ρυθμίζεται χωριστά από τον προσαρμογέα LAN του διακομιστή, και η πλευρά του LAN χρειάζεται διαδρομή επιστροφής σε αυτή τη δεξαμενή. Δύο αλλαγές, όχι μία, και αποτυγχάνουν με διαφορετικούς τρόπους. Περάστε τις με σειρά ώστε το σχέδιο διευθύνσεων και η διαδρομή επιστροφής να αποδειχθούν πριν αποσυρθούν τα παλιά εύρη.

Δεσμεύστε το εύρος πριν ανοίξετε την κονσόλα

Διαλέξτε ένα πρόθεμα που δεν επικαλύπτει το LAN, άλλα εύρη VPN ή οτιδήποτε δρομολογείται προς την τοποθεσία. Ένα /24 είναι βολικό μέγεθος για δοκιμή, και το πρώτο χρησιμοποιήσιμο τμήμα μπορεί να δοθεί στους πελάτες ενώ το υπόλοιπο μένει ελεύθερο για ανάπτυξη. Γράψτε το με τον σκοπό και τον ιδιοκτήτη του πριν το πληκτρολογήσετε σε κονσόλα. Αφήστε χώρο στα δύο άκρα του μπλοκ ώστε μια μεταγενέστερη διαίρεση να μην επιβάλει επαναρίθμηση.

Ένα σχέδιο διευθύνσεων που ζει μόνο σε μια κονσόλα απέχει μια ανακατασκευή από σύγκρουση. Έχει επίσης την τάση να μεγαλώνει: κάποιος προσθέτει αργότερα ένα δεύτερο εύρος και κανείς δεν ελέγχει το πρώτο. Κρατήστε το σχέδιο δίπλα στην τεκμηρίωση του διακομιστή, όχι σε μια συνομιλία.

Ο προσαρμογέας LAN του διακομιστή δεν ορίζει αυτή τη δεξαμενή. Η αλλαγή του δημόσιου ακροατή ή η προσθήκη προσαρμογέα στο LAN κάνει κάτι εντελώς διαφορετικό. Γι’ αυτό οι πελάτες μπορούν να συνδεθούν και παρ’ όλα αυτά να λάβουν διεύθυνση από λάθος σημείο. Η δεξαμενή ζει στις ιδιότητες IPv4 του διακομιστή, όχι στη λίστα προσαρμογέων.

Η αλλαγή μεθόδου δεν είναι προσθήκη εύρους

Το RRAS έχει μια μέθοδο εκχώρησης και ένα σύνολο ευρών. Η μετάβαση από DHCP σε στατική δεξαμενή είναι αλλαγή μεθόδου. Η προσθήκη άλλου μπλοκ ενώ η στατική δεξαμενή είναι ήδη ενεργή είναι αλλαγή εύρους.

Προεπισκοπήστε και τις δύο ενέργειες πριν εκτελέσετε οποιαδήποτε, και διαβάστε ποια ταιριάζει στην τρέχουσα κατάσταση του διακομιστή:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

Το δεύτερο cmdlet αποτυγχάνει ή παράγει άχρηστη δεξαμενή αν ο διακομιστής είναι ακόμη σε εκχώρηση DHCP. Το πρώτο αντικαθιστά τη μέθοδο αντί να επεκτείνει μια υπάρχουσα δεξαμενή. Καμία προεπισκόπηση δεν εφαρμόζει τίποτα, οπότε εκτελέστε αυτή που ταιριάζει και μετά επιβεβαιώστε τη δεξαμενή που προκύπτει στην κονσόλα. Αν δεν είστε σίγουροι σε ποια κατάσταση βρίσκεται ο διακομιστής, διαβάστε τη μέθοδο εκχώρησης στη σελίδα ιδιοτήτων IPv4 και απαριθμήστε τα ρυθμισμένα εύρη:

Get-VpnIPAddressRange

Μέθοδος DHCP με κενή λίστα ευρών σημαίνει ότι ισχύει η πρώτη προεπισκόπηση. Στατική δεξαμενή διευθύνσεων με υπάρχον εύρος σημαίνει ότι ισχύει η δεύτερη.

Υπολογίστε την επανεκκίνηση υπηρεσίας που μπορεί να απαιτεί η ρύθμιση, και μην υποθέσετε ότι οι συνδεδεμένοι πελάτες επαναριθμούνται αμέσως. Ένας πελάτης που κρατά την παλιά του διεύθυνση μέχρι να επανασυνδεθεί συμπεριφέρεται κανονικά. Σχεδιάστε την αλλαγή για ένα παράθυρο όπου η επανασύνδεση είναι αποδεκτή.

Το LAN χρειάζεται διαδρομή επιστροφής

Υποθέστε ότι το LAN είναι 10.60.0.0/24 και ο διακομιστής RRAS είναι 10.60.0.10 σε αυτό. Ένας κεντρικός υπολογιστής σε αυτό το LAN που απαντά σε πελάτη στο 10.250.50.0/24 χρειάζεται διαδρομή προς τη δεξαμενή μέσω του διακομιστή RRAS. Χωρίς αυτή τη διαδρομή το αίτημα φτάνει και η απάντηση πεθαίνει.

Αν η προεπιλεγμένη πύλη του κεντρικού υπολογιστή είναι άλλος δρομολογητής, εκείνος ο δρομολογητής χρειάζεται τη διαδρομή επιστροφής για το πρόθεμα VPN. Μια στατική διαδρομή στον διακομιστή RRAS δεν βοηθά εδώ· η διαδρομή επιστροφής πρέπει να υπάρχει στη συσκευή που κατέχει την πύλη LAN, οπότε προσθέστε την στον πίνακα δρομολόγησης ή στη διαδικασία δυναμικής δρομολόγησης, ανάλογα με το τι χρησιμοποιεί η τοποθεσία.

Ελέγξτε επίσης το τείχος προστασίας του κεντρικού υπολογιστή και τυχόν κανόνες πρόσβασης δικτύου απέναντι στο νέο εύρος προέλευσης. Κανόνες γραμμένοι για το παλιό εύρος πελατών απορρίπτουν το νέο ακόμη και όταν η εκχώρηση πέτυχε. Οι διαδρομές πελάτη προς το LAN και η επίλυση DNS είναι ξεχωριστές απαιτήσεις, και οι δύο μπορούν να αποτύχουν ενώ η σήραγγα φαίνεται υγιής. Δοκιμάστε την καθεμία χωριστά.

Αποδείξτε τη νέα δεξαμενή σε μία συσκευή πριν αποσύρετε την παλιά

Πάρτε μία εξουσιοδότηση που ελέγχετε, επανασυνδεθείτε και διαβάστε τη διεύθυνση δεξαμενής που έλαβε ο πελάτης. Αυτός ο ένας αριθμός χωρίζει την εκχώρηση από τη δρομολόγηση. Μετά ασκήστε μια ονομασμένη εφαρμογή, παρακολουθήστε την κίνηση επιστροφής και δοκιμάστε έναν προορισμό που πρέπει να μείνει απορριπτέος. Τρεις παρατηρήσεις, τρεις διαφορετικοί τρόποι αποτυχίας.

Η επίλυση ονομάτων αξίζει δική της δοκιμή: η πρόσβαση μέσω IP μπορεί να λειτουργεί ενώ το DNS του πελάτη δείχνει ακόμη σε έναν resolver που δεν μπορεί να φτάσει. Ένας διακομιστής DNS στο LAN είναι προσβάσιμος μόνο αν ο πελάτης έχει διαδρομή προς αυτόν και ο διακομιστής δέχεται ερωτήματα από το νέο εύρος. Και τα δύο είναι συχνές παραλείψεις όταν μετακινείται η δεξαμενή.

Αποσύρετε τα παλιά εύρη και τις εξαιρέσεις τους μόνο αφού συνυπολογίσετε τις ενεργές συνεδρίες και τη διαδικασία συντήρησης. Ένας συνδεδεμένος πελάτης με νέα διεύθυνση αποδεικνύει την εκχώρηση, όχι την πολιτική πρόσβασης. Κρατήστε το παλιό εύρος τεκμηριωμένο μέχρι να λήξει η τελευταία συνεδρία που το χρησιμοποίησε.

Ελέγξτε το αποτέλεσμα με τρεις παρατηρήσεις

Η αποδοχή απαιτεί τρία γεγονότα: ο πελάτης έχει διεύθυνση από τη νέα δεξαμενή, ένας κεντρικός υπολογιστής LAN μπορεί να τον φτάσει και να λάβει απάντηση, και ένας απορριπτέος προορισμός παραμένει απορριπτέος. Κάθε ένα έχει τον δικό του έλεγχο, οπότε μια αποτυχία δείχνει εκχώρηση, δρομολόγηση ή πολιτική. Εκτελέστε τους με αυτή τη σειρά.

Από τον πελάτη, επιβεβαιώστε τη διεύθυνση και τη διαδρομή προς έναν κεντρικό υπολογιστή LAN:

ipconfig | findstr /i "IPv4"
route print -4

Από τον κεντρικό υπολογιστή LAN, επιβεβαιώστε τη διαδρομή απάντησης και την πολιτική σε ένα πέρασμα. Αν το ping αποτυγχάνει αλλά η εφαρμογή λειτουργεί, το κομμάτι που λείπει είναι πιθανώς κανόνας ICMP και όχι η διαδρομή. Αν αποτυγχάνουν και τα δύο, διαβάστε τη διαδρομή στον κεντρικό υπολογιστή πριν επεξεργαστείτε το VPN. Καταγράψτε τα τρία αποτελέσματα στο δελτίο αλλαγής ώστε ο επόμενος να ξεκινήσει από αποδείξεις.