Windowsi sisseehitatud VPN ei jõua tarnija SSL-lüüsini: miks

Windowsiga tuleb kaasa neli tunnelitüüpi ja tarnija SSL-lüüs ei ole ükski neist. Suunake sisseehitatud profiil siiski ühele neist ja ühendus ebaõnnestub enne mandaadi küsimist, tavaliselt teatega, et ühenduse katkestas kohalik süsteem. See tekst on kokkusobimatuse signaal, mitte diagnoos. Profiili tüüp ja protokolli omanik olev klient peavad kokku sobima ning üks neist puudub.

Neli tüüpi ja üks dialoog

Iga salvestatud profiil kannab tunnelitüüpi. Sisseehitatud klient aktsepteerib PPTP, L2TP, IKEv2 ja SSTP, lisaks automaatrežiim, mis proovib neid järjekorras. Üldist SSL VPN-kirjet ei ole ja dialoogi kaudu ei saa seda lisada. Tarnija lüüs räägib oma rakendusprotokolli TLS-i peal, mida rakendab ainult selle tarnija klient.

Nimekiri on ühe käsu kaugusel ja tasub käivitada enne mis tahes muud tõrkeotsingut, sest see võtab sekundi ja kõrvaldab terve klassi vääri eeldusi:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Kui profiil ütleb SSTP ja lüüs ei ole RRAS-server, on kokkusobimatus juba tuvastatud. Mingi sertifikaadi- või tulemüüritöö ei muuda seda.

SSTP ja tarnija TLS näevad pordil 443 ühesugused välja

SSTP mähib PPP-sessiooni TLS-i sisse ja sõidab TCP 443 peal. Microsofti virnas lõpetab selle RRAS, mis esitab serverisertifikaadi, mida klient valideerib. Ka Fortineti, Citrixi või Pulse’i seade lõpetab TLS-i pordil 443 ja selle portaal avaneb igas brauseris kaevamata.

See brauseritest tõestab kättesaadavust, mitte ühilduvust. Portaali taga olev sessiooniprotokoll kuulub tarnijale ja sisseehitatud kliendil pole selle rakendust. Kas tarnija tarnib oma kliendi, ütleb teile, millise poolega kokkusobimatusest te tegelete.

Vastupidine segadus juhtub samuti. SSTP-na seadistatud profiil tõelise RRAS-serveri vastu võib sertifikaadi valideerimisel ebaõnnestuda, kuigi portaal on korras, ja see on sertifikaadiprobleem, mitte protokolliprobleem.

Vead, mis ilmnevad enne, kui tunnel on olemas

800-seeria koodid teatatakse enne mis tahes tunneli loomist, seepärast liigutavad tulemüürireeglid neid harva. Viga 812 on serveripoolne poliitika, mis keeldub kliendi pakutud autentimismeetodist. Ülejäänud selles vahemikus tulevad kohalikult ühendusehaldurilt, mitte võrgust.

Lülitage jälgimine sisse enne millegi ümberehitamist. Jälgimine nimetab ebaõnnestuva etapi ja etapi nimi on väärt rohkem kui dialoogitekst:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Jäljed maanduvad jälgimiskataloogi ja jäävad sinna, kuni te need kustutate, seega lülitage jälgimine hiljem välja, mitte ärge jätke seda nädalateks tööle.

Ühendatud profiil võib ikkagi kõik rikkuda

Profiil, mis ühendub ja seejärel rikub veebilehitsemise, kohaliku jagamise või konteinerimootori, on marsruudiprobleem, mitte tunneliprobleem. Vaikelüüs liikus tunnelisse, seega iga sihtkoht käib nüüd läbi partneri, kes ei pruugi seda marsruutida.

Seda otsustavad kaks juhtelementi. Üks on profiili split-tunnelingi omadus. Teine on iga adapteri valik kasutada vaikelüüsi kaugvõrgus, mis asub IPv4 täpsemates seadetes.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Split-tunnelingi sisselülitamine ilma marsruute lisamata annab tunneli, mis ühendub ja ei jõua kuhugi. Selle väljalülitamine ilma DNS-i kontrollimata annab sisemised nimed, mis lahenduvad avalikeks vastusteks, sest adapteri oma sufiksit ja servereid ei kasutata.

Kontrollige torustikku, seejärel tüüpi

Töötage selles järjekorras ja peatuge, kui samm ebaõnnestub, selle asemel et kõike korraga timmida:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Esimene käsk eraldab kättesaadavuse protokollist. Teine kinnitab, mida profiil endast väidab. Marsruuditabel näitab, kas tunnel haaras vaikemarsruudi. Valimiskäsk teatab ühendusehalduri enda vea, mis on sageli selgem kui dialoog.

Kirjutage piletisse tunnelitüüp, lüüsi toode ja täpne viga. Järgmine inimene teab siis minuti jooksul, kas tegemist on protokolli kokkusobimatusega, sertifikaadi tõrkega või marsruudiotusega, selle asemel et alustada sõnast “VPN ei tööta”.