Τιμή μητρώου NAT-T στα Windows: ελέγξτε πρώτα την τοπολογία

Μια σύνδεση VPN των Windows αποτυγχάνει, μια αναζήτηση επιστρέφει μια τιμή μητρώου και η τιμή καταχωρείται μαζί με επανεκκίνηση. Αυτή η ακολουθία μερικές φορές λειτουργεί και ποτέ δεν εξηγεί τίποτα. Η ρύθμιση που εξετάζουμε απαντά σε ένα ερώτημα για το πού βρίσκεται ο διακομιστής ως προς μια συσκευή NAT, και είναι άνευ νοήματος μέχρι να γνωρίζετε ποιο πρωτόκολλο απέτυχε και σε ποιο στάδιο.

Τι επιλέγει στην πραγματικότητα η τιμή

Το AssumeUDPEncapsulationContextOnSendRule καθορίζει αν μια υλοποίηση IPsec των Windows θα επιχειρήσει συσχετίσεις με έναν ομότιμο πίσω από συσκευή NAT. Η τεκμηριωμένη προεπιλογή 0 δεν επιτρέπει αυτή την περίπτωση, το 1 την επιτρέπει όταν ο διακομιστής είναι η πλευρά πίσω από το NAT, και το 2 καλύπτει τη μετάφραση και των δύο άκρων. Πρόκειται για δηλώσεις τοπολογίας — ποιος είναι πού.

Διαβασμένοι ως ακολουθία, οι αριθμοί περιγράφουν προοδευτικά περισσότερη μετάφραση, όχι προοδευτικά μεγαλύτερη αξιοπιστία. Η ρύθμιση 2 σε δίκτυο όπου δεν μεταφράζεται τίποτα δεν κάνει τη σύνδεση ταχύτερη ή σταθερότερη και δεν επιδιορθώνει αποτυχία ελέγχου ταυτότητας. Ο οδηγός NAT της Microsoft για L2TP/IPsec τεκμηριώνει την πολιτική και το ιστορικό πλαίσιο της πλατφόρμας. Ελέγξτε αυτό το πλαίσιο ως προς την έκδοση και τον ρόλο των Windows που εκτελείτε πραγματικά, γιατί ένα έγγραφο που έχει επιβιώσει από πολλές εκδόσεις δεν αποτελεί δήλωση για κάθε τρέχουσα έκδοση.

Ταιριάξτε την τοπολογία πριν από τον αριθμό

Σχεδιάστε τη διαδρομή και σημειώστε τα σημεία μετάφρασης: είναι ο πελάτης πίσω από οικιακό δρομολογητή, είναι ο διακομιστής πίσω από εξισορροπητή φόρτου ή τείχος προστασίας που ξαναγράφει διευθύνσεις, και βρίσκεται κάποιο άκρο πίσω από μετάφραση παρόχου που δεν ελέγχετε. Μόνο μετά από αυτό το σχέδιο μπορείτε να αποφασίσετε αν η τιμή εφαρμόζεται και σε ποιο άκρο.

Ο ισχυρισμός ότι οι τρέχουσες εκδόσεις των Windows Server διατίθενται απλώς με απενεργοποιημένο το NAT traversal είναι πολύ ευρύς για να βασιστείτε σε αυτόν. Αυτό που μετράει είναι η πολιτική στο σύστημά σας, η τοπολογία μπροστά του και η ανταλλαγή που απέτυχε, με αυτή τη σειρά. Αν και τα δύο άκρα έχουν δημόσιες διευθύνσεις, η ρύθμιση δεν είναι το πρόβλημά σας. Κοιτάξτε αντ’ αυτού την πρόταση, το πιστοποιητικό ή τον λογαριασμό, και αφήστε το μητρώο ήσυχο.

Ελέγξτε πρώτα το στάδιο της αποτυχίας

L2TP/IPsec παράγει τουλάχιστον τρεις διαφορετικές αποτυχίες: ο ομότιμος δεν είναι προσβάσιμος, η προστασία IPsec δεν μπορεί να εγκατασταθεί, και η ταυτοποίηση χρήστη PPP απορρίπτεται αφού υπάρξει η σήραγγα. Ένας λογαριασμός που απορρίπτεται δεν επιδιορθώνεται με αλλαγή πολιτικής NAT, και μια ασυμφωνία προτάσεων δεν επιδιορθώνεται με επανεκκίνηση.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Ένα χρονικό όριο χωρίς αποκρινόμενο υποδηλώνει προσβασιμότητα ή φιλτράρισμα παρά πολιτική. Μια γρήγορη απόρριψη με μήνυμα πρότασης δείχνει σε αλγορίθμους. Μια αποτυχία αφού ανέβει η σήραγγα ανήκει στο στάδιο ταυτοποίησης, που είναι άλλος ιδιοκτήτης και άλλη διόρθωση.

Το SSTP μέσω HTTPS και το εγγενές IKEv2 έχουν τα δικά τους αρχεία καταγραφής και τους δικούς τους ελέγχους. Τίποτα από αυτά δεν γίνεται περίπτωση NAT-traversal μόνο επειδή εκτελούνται επίσης στα Windows.

Κάντε την αλλαγή με τρόπο επιστροφής

Αν η τεκμηριωμένη πολιτική και η παρατηρούμενη τοπολογία το απαιτούν και οι δύο, καταγράψτε την προηγούμενη τιμή, εφαρμόστε την αλλαγή μέσω της διαχειριζόμενης διαμόρφωσης και όχι με σενάριο ανά προφίλ, και σχεδιάστε την επανεκκίνηση. Σε διακομιστή που υποστηρίζει άλλα φόρτα εργασίας, αυτό δεν είναι ακίνδυνη επεξεργασία.

Η συσκευή NAT πρέπει ακόμη να μεταφέρει την ενθυλακωμένη κίνηση και την κίνηση επιστροφής. Μια τιμή μητρώου δεν δημιουργεί κανόνα προώθησης, δεν ευθυγραμμίζει προτάσεις και δεν επικυρώνει ταυτότητα, επομένως μια σύνδεση που αρχίζει να λειτουργεί μετά την αλλαγή μπορεί να λειτουργεί για εντελώς διαφορετικό λόγο. Δοκιμάστε ξανά το αρχικό πρωτόκολλο με την αρχική τοπολογία, και μετά σημειώστε ποιο στάδιο απέτυχε και γιατί αναμενόταν η τιμή να το αντιμετωπίσει. Αυτή η πρόταση μετατρέπει μια φήμη του διαδικτύου σε διαμόρφωση που μπορείτε να υπερασπιστείτε.