Το ενσωματωμένο VPN των Windows δεν φτάνει σε πύλη SSL παρόχου: γιατί

Τα Windows περιλαμβάνουν τέσσερις τύπους σήραγγας και η πύλη παρόχου δεν είναι κανένας από αυτούς. Στρέψτε ένα ενσωματωμένο προφίλ σε μια τέτοια πύλη και η σύνδεση αποτυγχάνει πριν από το αίτημα διαπιστευτηρίων, συνήθως με μήνυμα ότι η σύνδεση τερματίστηκε από το τοπικό σύστημα. Το κείμενο αυτό είναι ένδειξη αναντιστοιχίας, όχι διάγνωση. Ο τύπος του προφίλ και ο πελάτης που κατέχει το πρωτόκολλο πρέπει να συμφωνούν, και ένα από τα δύο λείπει.

Τέσσερις τύποι και ένας διάλογος

Κάθε αποθηκευμένο προφίλ φέρει τύπο σήραγγας. Ο ενσωματωμένος πελάτης δέχεται PPTP, L2TP, IKEv2 και SSTP, μαζί με αυτόματη λειτουργία που τα δοκιμάζει με σειρά. Δεν υπάρχει γενική καταχώριση SSL VPN και δεν υπάρχει τρόπος να προστεθεί μέσω του διαλόγου. Η πύλη παρόχου μιλά το δικό της πρωτόκολλο εφαρμογής πάνω από TLS, το οποίο υλοποιεί μόνο ο πελάτης εκείνου του παρόχου.

Η λίστα απέχει μία εντολή, και αξίζει να εκτελεστεί πριν από οποιαδήποτε άλλη αντιμετώπιση προβλημάτων, γιατί παίρνει ένα δευτερόλεπτο και αφαιρεί μια ολόκληρη κατηγορία λανθασμένων υποθέσεων:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Αν το προφίλ λέει SSTP και η πύλη δεν είναι διακομιστής RRAS, η αναντιστοιχία έχει ήδη αποδειχθεί. Καμία εργασία σε πιστοποιητικά ή τείχος προστασίας δεν την αλλάζει.

Το SSTP και το TLS παρόχου μοιάζουν στην θύρα 443

Το SSTP τυλίγει μια συνεδρία PPP μέσα σε TLS και κινείται στο TCP 443. Στη στοίβα της Microsoft την τερματίζει το RRAS, το οποίο παρουσιάζει πιστοποιητικό διακομιστή που επικυρώνει ο πελάτης. Μια συσκευή Fortinet, Citrix ή Pulse τερματίζει επίσης TLS στην 443, και η πύλη της ανοίγει σε κάθε πρόγραμμα περιήγησης χωρίς παράπονο.

Αυτή η δοκιμή περιήγησης αποδεικνύει προσβασιμότητα, όχι συμβατότητα. Το πρωτόκολλο συνεδρίας πίσω από την πύλη ανήκει στον πάροχο, και ο ενσωματωμένος πελάτης δεν έχει καμία υλοποίησή του. Το αν ο πάροχος διαθέτει δικό του πελάτη σας λέει με ποιο μισό της αναντιστοιχίας έχετε να κάνετε.

Η αντίστροφη σύγχυση συμβαίνει επίσης. Ένα προφίλ διαμορφωμένο ως SSTP απέναντι σε γνήσιο διακομιστή RRAS μπορεί να αποτύχει στην επικύρωση πιστοποιητικού ενώ η πύλη είναι εντάξει, και αυτό είναι πρόβλημα πιστοποιητικού και όχι πρωτοκόλλου.

Σφάλματα που εμφανίζονται πριν υπάρξει σήραγγα

Οι κωδικοί της σειράς 800 αναφέρονται πριν εγκατασταθεί οποιαδήποτε σήραγγα, γι’ αυτό οι κανόνες τείχους προστασίας σπάνια τους μετακινούν. Το σφάλμα 812 είναι πολιτική της πλευράς διακομιστή που απορρίπτει τη μέθοδο ελέγχου ταυτότητας που πρόσφερε ο πελάτης. Τα υπόλοιπα του εύρους προέρχονται από τον τοπικό διαχειριστή συνδέσεων και όχι από το δίκτυο.

Ενεργοποιήστε την ιχνηλάτηση πριν ξαναχτίσετε οτιδήποτε. Η ιχνηλάτηση ονομάζει το στάδιο που αποτυγχάνει, και ένα όνομα σταδίου αξίζει περισσότερο από το κείμενο του διαλόγου:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Οι ιχνηλατήσεις καταλήγουν στον κατάλογο ιχνηλάτησης και μένουν εκεί μέχρι να τις καθαρίσετε, οπότε απενεργοποιήστε την ιχνηλάτηση μετά αντί να την αφήσετε να τρέχει για εβδομάδες.

Ένα συνδεδεμένο προφίλ μπορεί ακόμη να χαλάσει τα πάντα

Ένα προφίλ που συνδέεται και μετά χαλάει την περιήγηση, έναν τοπικό κοινόχρηστο φάκελο ή μια μηχανή κοντέινερ έχει πρόβλημα δρομολόγησης, όχι πρόβλημα σήραγγας. Η προεπιλεγμένη πύλη μετακινήθηκε στη σήραγγα, οπότε κάθε προορισμός περνά τώρα από έναν ομότιμο που μπορεί να μην τον δρομολογεί.

Δύο ρυθμίσεις το αποφασίζουν. Η μία είναι η ιδιότητα split tunneling στο προφίλ. Η άλλη είναι η επιλογή ανά προσαρμογέα για χρήση της προεπιλεγμένης πύλης στο απομακρυσμένο δίκτυο, που βρίσκεται στις σύνθετες ρυθμίσεις IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Η ενεργοποίηση του split tunneling χωρίς προσθήκη διαδρομών παράγει σήραγγα που συνδέεται και δεν φτάνει πουθενά. Η απενεργοποίησή του χωρίς έλεγχο DNS παράγει εσωτερικά ονόματα που επιλύονται σε δημόσιες απαντήσεις, γιατί το επίθημα και οι διακομιστές του προσαρμογέα δεν χρησιμοποιούνται.

Ελέγξτε τη συνδεσμολογία, μετά τον τύπο

Δουλέψτε με αυτή τη σειρά και σταματήστε όταν ένα βήμα αποτύχει, αντί να ρυθμίζετε τα πάντα ταυτόχρονα:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Η πρώτη εντολή χωρίζει την προσβασιμότητα από το πρωτόκολλο. Η δεύτερη επιβεβαιώνει τι ισχυρίζεται ότι είναι το προφίλ. Ο πίνακας δρομολόγησης δείχνει αν η σήραγγα κατέλαβε την προεπιλεγμένη διαδρομή. Η εντολή κλήσης αναφέρει το δικό του σφάλμα του διαχειριστή συνδέσεων, που συχνά είναι σαφέστερο από τον διάλογο.

Καταγράψτε στο δελτίο τον τύπο σήραγγας, το προϊόν της πύλης και το ακριβές σφάλμα. Το επόμενο άτομο ξέρει έπειτα μέσα σε ένα λεπτό αν πρόκειται για αναντιστοιχία πρωτοκόλλου, αποτυχία πιστοποιητικού ή απόφαση δρομολόγησης, αντί να ξεκινά από το “το VPN δεν δουλεύει”.