Millise RRAS-i saidi liidese valib sissetulev tunnel?
RRAS valib sissetuleva saidi liidese vastaspoole aadressi, kasutajanime või sertifikaadi subjekti järgi, seega lugege seda võtit eraldi selle lubatud ja ühendatud olekutest.
Windowsi serveris, kus on mitu sait-saiti-liidest, ei ole konsooli silt lihtsalt märkus inimestele. RRAS kasutab sissetulevast ühendusest kindlat välja, et otsustada, milline loogiline liides vastab, ja see väli muutub autentimismeetodiga. Kui võtme valesti teete, nimetate liideseid ümber, kuni miski juhuslikult ühendub. Valikureegel, haldusolek ja sessiooni olek on kolm eraldi fakti ja ainult üks neist puudutab nimetamist.
Müüt: ümbernimetatud liides sobib kõigega
Ahvatlev parandus, kui haru ei saa ühenduda, on luua või ümber nimetada saidi liides, kuni see sarnaneb helistajaga. See töötab ühe autentimismeetodi puhul ja ebaõnnestub vaikselt teiste puhul, mistõttu antakse sama protseduuri edasi vastuoluliste tulemustega. Saidi liides on loogiline ühendusobjekt oma sihtkoha, kaitstud prefiksite ja olekuga. See ei ole füüsiline adapter, mis krüpteeritud pakette kannab, seega võrguadapterite vaatamine ei ütle teile midagi selle kohta, milline saidi objekt valiti.
Valikul ei ole midagi pistmist ka tavaliste kaugjuurdepääsu kasutajatega. Kui töötajate VPN-kliendid sisse helistavad, on neil teine roll ja nende kasutajanimed ei osale selles vastenduses kunagi. Kinnitage, millisesse rolli helistaja kuulub, enne kui loete tuttavasse nimesse midagi sisse.
Kolm autentimisvormi, kolm valikuvõtit
Eeljagatud võtmega võrreldakse liidese konfigureeritud sihtkoha aadressi sissetuleva vastaspoole aadressiga. Silt võib olla ükskõik mis, sest otsuse kannab aadress. Kasutajanimepõhise autentimise puhul võrreldakse liidese nime helistaja esitatud kasutajanimega. Siin on silt võti ja täpselt seepärast võib ümbernimetamine näida ühte saiti parandavat ja teist rikkuvat.
Sertifikaatide puhul võrreldakse liidese nime esitatud sertifikaadi subjekti nimega. Nimi peab sellele subjektile vastama ja operaatori väljamõeldud kena sildist ei piisa.
Sellest tuleneb kaks tagajärge. Eeljagatud võtmega korralduses saab antud sihtkoha jaoks lubada ainult ühe liidese, seega kaks haru, mis jagavad üht jälgitavat avalikku aadressi, ei saa mõlemad duplikaatsete kirjetega teenindatud olla. Ja kehtib meetod, mille te tegelikult konfigureerisite, ükskõik mida konsool vihjab.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Lubatud ei ole ühendatud
Haldusolek ütleb, kas loogilisel liidesel on lubatud töötada. Ühenduse olek ütleb, kas praegu on sessioon olemas. Lubatud liides ilma sessioonita on nõudmisel valitava ühenduse normaalne puhkeolek ja selle rikkena raporteerimine saadab inimesed taga ajama katkestust, mida ei ole.
Kasutage nimega otsingut või dokumenteeritud marsruutimisdomeeni otsingut, kuid mitte mõlemat parameetrit korraga, ja käivitage see kavandatud serverikontekstis. Kui oodatud liides esimeses loendis puudub, on probleem olekust eespool: midagi ei valitud üldse.
Lugege paari koos, mitte eraldi. Ühendus, mis peaks jääma püstitatuks ja näitab lahtiühendust, väärib uurimist, samas kui jõudeolev nõudmisel ühenduv lüli käitub nii nagu projekteeritud. Vahepeal jääb halduslikult keelatud liides pimedaks, ükskõik kui mitu korda vastaspool oma ruuterit taaskäivitab.
Kumbki väärtus ei tõenda, et autentimine õnnestus, et kokkulepitud kaitse sobib, et marsruudid paigaldati või et privaatrakendus on lubatud. Need on neli erinevat küsimust nelja erineva vastusega.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLugege identiteeditehingut enne, kui midagi lubate
Kui sissetulev helistaja vastendub liidesele, mida te ei oodanud, on kasulik tõend tema esitatud identiteet, mitte keelatud liideste loend. Tõmmake välja hiljutised kaugjuurdepääsu sündmused ja lugege helistaja aadressi, autentimise tulemust ja valitud liidese nime. Keelatud liides võib olla meelega kasutusest kõrvaldatud sait või keelatud partner. Selle lubamine, et näha, kas üks sisselogimisviga kaob, on konfiguratsioonimuudatus, millel on marsruutimise ja juurdepääsu tagajärjed, seega suunake otsus selle saidisuhte omaniku kaudu, koos sihtkoha, kaitstud prefiksite ja poliitikaga.
Kui vastendus on tõesti vale, parandage võti, mitte sümptom: parandage sertifikaadi subjekt või kasutajanime puhul liidese nimi ja eeljagatud võtme puhul sihtkoht. Seejärel ühenduge üks kord uuesti ja kinnitage, et sama helistaja valib nüüd kavandatud objekti.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Sulgege tsükkel lubatud toiminguga
Roheline olek ei ole heakskiit. Kui õige liides on valitud, genereerige liiklust, mida projekteerimine lubab, ühe kaitstud prefiksi hostist teise hosti, ja kinnitage, et vastus naaseb sama teed pidi. Käivitage sama katse hostist, mida peaks keelduma, kasutades Test-NetConnection -ComputerName 10.44.2.10 -Port 445 teenuse vastu, mille projekteerimine välistab, ja lugege kaugjuurdepääsu sündmused uuesti. Saidi lüli, mis kannab rohkem kui selle kavandatud prefiksid või vastab teenusele, mille poliitika välistab, on marsruutimisviga, mida ükski olekukontroll ei paljasta.
Kirjutage autentimismeetod, valikuvõti ja lubatud prefiksid koos saidi töökäsiraamatusse. Järgmine insener kohtab sama kolme väärtusega tabelit ja nimetamise tava on mõttekas alles siis, kui see kontekst on kirja pandud.