Ποια διεπαφή τοποθεσίας RRAS επιλέγει ένα εισερχόμενο τούνελ;
Το RRAS επιλέγει μια εισερχόμενη διεπαφή τοποθεσίας με βάση τη διεύθυνση του ομοτίμου, το όνομα χρήστη ή το υποκείμενο του πιστοποιητικού, οπότε διαβάστε αυτό το κλειδί χωριστά από τις καταστάσεις ενεργοποίησης και σύνδεσης.
Σε διακομιστή Windows με πολλές διεπαφές τοποθεσίας-προς-τοποθεσία, μια ετικέτα στην κονσόλα δεν είναι απλώς σημείωση για ανθρώπους. Το RRAS χρησιμοποιεί ένα συγκεκριμένο πεδίο από την εισερχόμενη σύνδεση για να αποφασίσει ποια λογική διεπαφή απαντά, και αυτό το πεδίο αλλάζει με τη μέθοδο ελέγχου ταυτότητας. Αν κάνετε λάθος στο κλειδί, θα μετονομάζετε διεπαφές μέχρι να συνδεθεί κάτι από τύχη. Ο κανόνας επιλογής, η διαχειριστική κατάσταση και η κατάσταση συνεδρίας είναι τρία ξεχωριστά γεγονότα, και μόνο ένα από αυτά αφορά την ονομασία.
Ο μύθος: μια μετονομασμένη διεπαφή θα ταιριάξει με οτιδήποτε
Η δελεαστική διόρθωση όταν ένα υποκατάστημα δεν μπορεί να συνδεθεί είναι να δημιουργήσετε ή να μετονομάσετε μια διεπαφή τοποθεσίας μέχρι να μοιάζει με τον καλών. Αυτό λειτουργεί για μία μέθοδο ελέγχου ταυτότητας και αποτυγχάνει σιωπηρά για τις άλλες, γι’ αυτό η ίδια διαδικασία κυκλοφορεί με αντιφατικά αποτελέσματα. Μια διεπαφή τοποθεσίας είναι ένα λογικό αντικείμενο σύνδεσης με δικό του προορισμό, προστατευμένα προθέματα και κατάσταση. Δεν είναι ο φυσικός προσαρμογέας που μεταφέρει τα κρυπτογραφημένα πακέτα, οπότε το να κοιτάτε προσαρμογείς δικτύου δεν σας λέει τίποτα για το ποιο αντικείμενο τοποθεσίας επιλέχθηκε.
Η επιλογή επίσης δεν έχει καμία σχέση με τους συνηθισμένους χρήστες απομακρυσμένης πρόσβασης. Αν πελάτες VPN εργαζομένων καλούν, έχουν άλλο ρόλο, και τα ονόματα χρηστών τους δεν συμμετέχουν ποτέ σε αυτή την αντιστοίχιση. Επιβεβαιώστε σε ποιον ρόλο ανήκει ο καλών πριν διαβάσετε οτιδήποτε σε ένα οικείο όνομα.
Τρεις μορφές ελέγχου ταυτότητας, τρία κλειδιά επιλογής
Με ένα προκοινοποιημένο κλειδί, η ρυθμισμένη διεύθυνση προορισμού της διεπαφής συγκρίνεται με τη διεύθυνση του εισερχόμενου ομοτίμου. Η ετικέτα μπορεί να είναι οτιδήποτε, γιατί η διεύθυνση φέρει την απόφαση. Με έλεγχο ταυτότητας βάσει ονόματος χρήστη, το όνομα της διεπαφής συγκρίνεται με το όνομα χρήστη που παρουσιάζει ο καλών. Εδώ η ετικέτα είναι το κλειδί, και γι’ αυτό ακριβώς μια μετονομασία μπορεί να φαίνεται ότι διορθώνει τη μια τοποθεσία και σπάει την άλλη.
Με πιστοποιητικά, το όνομα της διεπαφής συγκρίνεται με το όνομα υποκειμένου στο πιστοποιητικό που παρουσιάστηκε. Το όνομα πρέπει να αντιστοιχεί σε αυτό το υποκείμενο, και μια όμορφη ετικέτα επινοημένη από χειριστή δεν αρκεί.
Ακολουθούν δύο συνέπειες. Στη διάταξη με προκοινοποιημένο κλειδί μόνο μία διεπαφή μπορεί να είναι ενεργοποιημένη για δεδομένο προορισμό, οπότε δύο υποκαταστήματα που μοιράζονται μία παρατηρούμενη δημόσια διεύθυνση δεν μπορούν να εξυπηρετηθούν και τα δύο με διπλές καταχωρίσεις. Και ισχύει η μέθοδος που ρυθμίσατε πραγματικά, ό,τι κι αν υποδεικνύει η κονσόλα.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Ενεργό δεν σημαίνει συνδεδεμένο
Η διαχειριστική κατάσταση λέει αν η λογική διεπαφή επιτρέπεται να λειτουργεί. Η κατάσταση σύνδεσης λέει αν υπάρχει συνεδρία τώρα. Μια ενεργοποιημένη διεπαφή χωρίς συνεδρία είναι κανονική κατάσταση ηρεμίας για ζεύξη κλήσης κατά απαίτηση, και η αναφορά της ως βλάβης στέλνει ανθρώπους να κυνηγούν διακοπή που δεν υπάρχει.
Χρησιμοποιήστε αναζήτηση με όνομα ή την τεκμηριωμένη αναζήτηση τομέα δρομολόγησης, αλλά όχι και τις δύο παραμέτρους μαζί, και εκτελέστε την στο προβλεπόμενο περιβάλλον διακομιστή. Αν η διεπαφή που περιμένετε λείπει από την πρώτη λίστα, το πρόβλημα είναι πριν από την κατάσταση: δεν επιλέχθηκε τίποτα απολύτως.
Διαβάστε το ζεύγος μαζί και όχι μεμονωμένα. Μια ζεύξη που πρέπει να παραμένει εγκατεστημένη και εμφανίζεται αποσυνδεδεμένη αξίζει έρευνα, ενώ μια αδρανής ζεύξη κατά απαίτηση που συνδέεται όταν χρειάζεται συμπεριφέρεται όπως σχεδιάστηκε. Στο μεταξύ, μια διαχειριστικά απενεργοποιημένη διεπαφή θα μένει σκοτεινή, όσες φορές κι αν η απομακρυσμένη πλευρά επανεκκινήσει τον δρομολογητή της.
Καμία από τις δύο τιμές δεν αποδεικνύει ότι ο έλεγχος ταυτότητας πέτυχε, ότι η διαπραγματευμένη προστασία ταιριάζει, ότι εγκαταστάθηκαν διαδρομές ή ότι η ιδιωτική εφαρμογή επιτρέπεται. Αυτά είναι τέσσερα διαφορετικά ερωτήματα με τέσσερις διαφορετικές απαντήσεις.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateΔιαβάστε τη συναλλαγή ταυτότητας πριν ενεργοποιήσετε οτιδήποτε
Όταν ένας εισερχόμενος καλών αντιστοιχίζεται σε διεπαφή που δεν περιμένατε, το χρήσιμο στοιχείο είναι η ταυτότητα που παρουσίασε, όχι η λίστα των απενεργοποιημένων διεπαφών. Αντλήστε τα πρόσφατα συμβάντα απομακρυσμένης πρόσβασης και διαβάστε τη διεύθυνση του καλούντος, το αποτέλεσμα του ελέγχου ταυτότητας και το όνομα της επιλεγμένης διεπαφής. Μια απενεργοποιημένη διεπαφή μπορεί να είναι τοποθεσία που αποσύρθηκε σκόπιμα ή απαγορευμένος συνεργάτης. Το να την ενεργοποιήσετε για να δείτε αν εξαφανιστεί ένα σφάλμα σύνδεσης είναι αλλαγή διαμόρφωσης με συνέπειες στη δρομολόγηση και την πρόσβαση, γι’ αυτό περάστε την απόφαση από τον ιδιοκτήτη αυτής της σχέσης τοποθεσίας, μαζί με τον προορισμό, τα προστατευμένα προθέματα και την πολιτική της.
Αν η αντιστοίχιση είναι πραγματικά λανθασμένη, διορθώστε το κλειδί και όχι το σύμπτωμα: διορθώστε το υποκείμενο του πιστοποιητικού ή το όνομα της διεπαφής στην περίπτωση ονόματος χρήστη, και τον προορισμό στην περίπτωση του προκοινοποιημένου κλειδιού. Μετά επανασυνδεθείτε μία φορά και επιβεβαιώστε ότι ο ίδιος καλών επιλέγει τώρα το επιδιωκόμενο αντικείμενο.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Κλείστε τον κύκλο με μια επιτρεπόμενη λειτουργία
Μια πράσινη κατάσταση δεν είναι αποδοχή. Μόλις επιλεγεί η σωστή διεπαφή, δημιουργήστε κίνηση που επιτρέπει ο σχεδιασμός, από υπολογιστή σε ένα προστατευμένο πρόθεμα σε υπολογιστή στο άλλο, και επιβεβαιώστε ότι η απάντηση επιστρέφει από την ίδια διαδρομή. Εκτελέστε την ίδια δοκιμή από υπολογιστή που θα έπρεπε να απορριφθεί, χρησιμοποιώντας Test-NetConnection -ComputerName 10.44.2.10 -Port 445 εναντίον υπηρεσίας που ο σχεδιασμός αποκλείει, και διαβάστε ξανά τα συμβάντα απομακρυσμένης πρόσβασης. Μια ζεύξη τοποθεσίας που μεταφέρει περισσότερα από τα προβλεπόμενα προθέματά της, ή που απαντά για υπηρεσία που η πολιτική αποκλείει, είναι λάθος δρομολόγησης που κανένας έλεγχος κατάστασης δεν θα αποκαλύψει.
Καταγράψτε τη μέθοδο ελέγχου ταυτότητας, το κλειδί επιλογής και τα επιτρεπόμενα προθέματα μαζί στο εγχειρίδιο λειτουργίας της τοποθεσίας. Ο επόμενος μηχανικός θα συναντήσει τον ίδιο πίνακα τριών τιμών, και η σύμβαση ονομασίας έχει νόημα μόνο όταν αυτό το πλαίσιο είναι γραμμένο.