¿Qué interfaz de sitio RRAS elige un túnel entrante?

En un servidor Windows con varias interfaces de sitio a sitio, una etiqueta de consola no es solo una nota para humanos. RRAS usa un campo concreto de la conexión entrante para decidir qué interfaz lógica responde, y ese campo cambia con el método de autenticación. Si se equivoca con la clave, renombrará interfaces hasta que algo se conecte por suerte. La regla de selección, el estado administrativo y el estado de sesión son tres hechos separados, y solo uno de ellos trata de nombres.

El mito: una interfaz renombrada encajará con cualquier cosa

La corrección tentadora cuando una sucursal no conecta es crear o renombrar una interfaz de sitio hasta que se parezca al llamante. Eso funciona para un método de autenticación y falla en silencio para los demás, y por eso el mismo procedimiento circula con resultados contradictorios. Una interfaz de sitio es un objeto de conexión lógico con su propio destino, prefijos protegidos y estado. No es el adaptador físico que transporta los paquetes cifrados, así que mirar los adaptadores de red no dice nada sobre qué objeto de sitio se seleccionó.

La selección tampoco tiene nada que ver con los usuarios normales de acceso remoto. Si marcan clientes VPN de empleados, tienen otro rol, y sus nombres de usuario nunca participan en esta asignación. Confirme a qué rol pertenece el llamante antes de leer algo en un nombre familiar.

Tres formas de autenticación, tres claves de selección

Con una clave precompartida, la dirección de destino configurada de la interfaz se compara con la dirección del par entrante. La etiqueta puede ser cualquier cosa, porque la dirección lleva la decisión. Con autenticación basada en nombre de usuario, el nombre de la interfaz se compara con el nombre de usuario que presenta el llamante. Aquí la etiqueta es la clave, y es exactamente por eso que un renombrado puede parecer que arregla un sitio y rompe otro.

Con certificados, el nombre de la interfaz se compara con el nombre de sujeto del certificado presentado. El nombre debe corresponder a ese sujeto, y una etiqueta bonita inventada por un operador no servirá.

Se siguen dos consecuencias. En el esquema de clave precompartida solo se puede habilitar una interfaz para un destino dado, así que dos sucursales que comparten una misma dirección pública observada no pueden ser atendidas ambas con entradas duplicadas. Y manda el método que realmente configuró, diga lo que diga la consola.

Habilitado no es conectado

El estado administrativo dice si la interfaz lógica puede funcionar. El estado de conexión dice si existe una sesión ahora mismo. Una interfaz habilitada sin sesión es un estado de reposo normal para un enlace que marca bajo demanda, e informarlo como fallo manda a la gente a perseguir una caída que no existe.

Use una búsqueda por nombre o la búsqueda documentada de dominio de enrutamiento, pero no ambos parámetros juntos, y ejecútela en el contexto de servidor previsto. Si la interfaz que espera falta en el primer listado, el problema está antes del estado: no se seleccionó nada en absoluto.

Lea el par en conjunto y no por separado. Un enlace que debe permanecer establecido y se muestra desconectado merece investigación, mientras que un enlace inactivo que se conecta bajo demanda se comporta como se diseñó. Mientras tanto, una interfaz deshabilitada administrativamente seguirá oscura por muchas veces que el lado remoto reinicie su enrutador.

Ninguno de los dos valores demuestra que la autenticación tuvo éxito, que la protección negociada coincide, que se instalaron rutas o que la aplicación privada está permitida. Son cuatro preguntas distintas con cuatro respuestas distintas.

Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionState

Lea la transacción de identidad antes de habilitar nada

Cuando un llamante entrante se asigna a una interfaz que no esperaba, la evidencia útil es la identidad que presentó, no la lista de interfaces deshabilitadas. Extraiga los eventos recientes de acceso remoto y lea la dirección del llamante, el resultado de la autenticación y el nombre de la interfaz seleccionada. Una interfaz deshabilitada puede ser un sitio retirado a propósito o un socio prohibido. Habilitarla para ver si un error de inicio de sesión desaparece es un cambio de configuración con consecuencias de enrutamiento y acceso, así que pase la decisión por el propietario de esa relación de sitio, junto con su destino, prefijos protegidos y política.

Si la asignación es realmente errónea, corrija la clave y no el síntoma: arregle el sujeto del certificado o el nombre de la interfaz en el caso del nombre de usuario, y el destino en el caso de la clave precompartida. Luego reconecte una vez y confirme que el mismo llamante ahora selecciona el objeto previsto.

Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }

Cierre el bucle con una operación permitida

Un estado verde no es aceptación. Una vez seleccionada la interfaz correcta, genere tráfico que el diseño permita, de un host de un prefijo protegido a un host del otro, y confirme que la respuesta vuelve por la misma ruta. Ejecute el mismo intento desde un host que debería ser rechazado, usando Test-NetConnection -ComputerName 10.44.2.10 -Port 445 contra un servicio que el diseño excluye, y vuelva a leer los eventos de acceso remoto. Un enlace de sitio que transporta más allá de sus prefijos previstos, o que responde por un servicio que la política excluye, es un error de enrutamiento que ninguna comprobación de estado revelará.

Registre el método de autenticación, la clave de selección y los prefijos permitidos juntos en el manual de operaciones del sitio. El siguiente ingeniero se encontrará la misma tabla de tres valores, y la convención de nombres solo tiene sentido cuando ese contexto está escrito.