Kiun RRAS-ejan interfacon elektas envenanta tunelo?
RRAS elektas envenantan ejan interfacon laŭ la adreso de la kamarado, la uzantnomo aŭ la subjekto de la atestilo, do legu tiun ŝlosilon aparte de la statoj ebligita kaj konektita.
Sur Windows-servilo kun pluraj ejo-al-eja interfacoj, konsola etikedo ne estas nur noto por homoj. RRAS uzas difinitan kampon el la envenanta konekto por decidi, kiu logika interfaco respondas, kaj tiu kampo ŝanĝiĝas laŭ la aŭtentiga metodo. Se vi maltrafos la ŝlosilon, vi renomos interfacojn ĝis io konektiĝos bonŝance. La elekto-regulo, la administra stato kaj la sesia stato estas tri apartaj faktoj, kaj nur unu el ili temas pri nomado.
La mito: renomita interfaco kongruos kun io ajn
La tentiga ripari, kiam filio ne povas konektiĝi, estas krei aŭ renomi ejan interfacon ĝis ĝi similas la alvokanton. Tio funkcias por unu aŭtentiga metodo kaj silente malsukcesas por la aliaj, tial la sama proceduro estas transdonata kun kontraŭdiraj rezultoj. Eja interfaco estas logika konekta objekto kun propra celo, protektitaj prefiksoj kaj stato. Ĝi ne estas la fizika adaptilo portanta la ĉifritajn pakaĵojn, do rigardi retajn adaptilojn diras al vi nenion pri tio, kiu eja objekto elektiĝis.
La elekto ankaŭ havas nenion komunan kun ordinaraj uzantoj de fora aliro. Se VPN-klientoj de dungitoj alvokas, ili havas alian rolon, kaj iliaj uzantnomoj neniam partoprenas en ĉi tiu mapado. Konfirmu, al kiu rolo la alvokanto apartenas, antaŭ ol legi ion en konatan nomon.
Tri aŭtentigaj formoj, tri elekto-ŝlosiloj
Kun antaŭe dividita ŝlosilo, la agordita cela adreso de la interfaco estas komparata kun la adreso de la envenanta kamarado. La etikedo povas esti io ajn, ĉar la adreso portas la decidon. Kun uzantnoma aŭtentigo, la nomo de la interfaco estas komparata kun la uzantnomo prezentita de la alvokanto. Ĉi tie la etikedo estas la ŝlosilo, kaj ĝuste tial renomado povas ŝajni ripari unu ejon kaj rompi alian.
Kun atestiloj, la nomo de la interfaco estas komparata kun la subjekta nomo en la prezentita atestilo. La nomo devas kongrui kun tiu subjekto, kaj bela etikedo elpensita de operatoro ne sufiĉos.
Sekvas du konsekvencoj. En la aranĝo kun antaŭe dividita ŝlosilo nur unu interfaco povas esti ebligita por difinita celo, do du filioj dividantaj unu observatan publikan adreson ne povas ambaŭ esti servataj per duoblaj enskriboj. Kaj regas tiu metodo, kiun vi efektive agordis, kion ajn la konzolo sugestas.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Ebligita ne estas konektita
Administra stato diras, ĉu la logika interfaco rajtas funkcii. Konekta stato diras, ĉu nun ekzistas sesio. Ebligita interfaco sen sesio estas normala ripoza stato por laŭbezonan konekton, kaj raporti ĝin kiel paneon sendas homojn post ĉasi interrompon, kiu ne ekzistas.
Uzu nomatan serĉon aŭ la dokumentitan serĉon en la enkursiga domajno, sed ne ambaŭ parametrojn kune, kaj plenumu ĝin en la intencita servila kunteksto. Se la interfaco, kiun vi atendas, mankas en la unua listo, la problemo estas antaŭ la stato: nenio entute elektiĝis.
Legu la paron kune, ne izolite. Ligo, kiu devas resti establita kaj montriĝas malkonektita, meritas esploradon, dum senokupa laŭbezone konektiĝanta ligo kondutas laŭ la dezajno. Dume administre malŝaltita interfaco restos malluma, kiom ajn la fora flanko restartigos sian enkursigilon.
Neniu el la du valoroj pruvas, ke la aŭtentigo sukcesis, ke la intertraktita protekto kongruas, ke enkursigoj instaliĝis aŭ ke la privata aplikaĵo estas permesita. Tiuj estas kvar malsamaj demandoj kun kvar malsamaj respondoj.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLegu la identecan transakcion antaŭ ol ebligi ion ajn
Kiam envenanta alvokanto mapiĝas al interfaco, kiun vi ne atendis, la utila pruvo estas la identeco, kiun ĝi prezentis, ne la listo de malŝaltitaj interfacoj. Eltiru la lastatempajn eventojn de fora aliro kaj legu la adreson de la alvokanto, la aŭtentigan rezulton kaj la nomon de la elektita interfaco. Malŝaltita interfaco povas esti intence emeritigita ejo aŭ malpermesita partnero. Ebligi ĝin por vidi, ĉu unu ensaluta eraro malaperas, estas agorda ŝanĝo kun sekvoj por enkursigado kaj aliro, do direktu la decidon tra la posedanto de tiu eja rilato, kune kun ĝia celo, protektitaj prefiksoj kaj politiko.
Se la mapado vere malĝustas, korektu la ŝlosilon anstataŭ la simptomon: korektu la subjekton de la atestilo aŭ la nomon de la interfaco en la uzantnoma kazo, kaj la celon en la kazo de antaŭe dividita ŝlosilo. Poste rekonektu unufoje kaj konfirmu, ke la sama alvokanto nun elektas la intencitan objekton.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Fermu la ciklon per permesita operacio
Verda stato ne estas akcepto. Post kiam la ĝusta interfaco elektiĝis, generu trafikon, kiun la dezajno permesas, de gastiganto en unu protektita prefikso al gastiganto en la alia, kaj konfirmu, ke la respondo revenas laŭ la sama vojo. Plenumu la saman provon de gastiganto, kiu devus esti rifuzita, uzante Test-NetConnection -ComputerName 10.44.2.10 -Port 445 kontraŭ servo, kiun la dezajno ekskludas, kaj relegu la eventojn de fora aliro. Eja ligo, kiu portas pli ol siaj intencitaj prefiksoj aŭ respondas por servo, kiun la politiko ekskludas, estas enkursiga eraro, kiun neniu statkontrolo malkovros.
Notu la aŭtentigan metodon, la elekto-ŝlosilon kaj la permesitajn prefiksojn kune en la funkciiga manlibro de la ejo. La sekva inĝeniero renkontos la saman tabelon kun tri valoroj, kaj la nomiga konvencio havas sencon nur post kiam tiu kunteksto estas skribita.