Zein RRAS gune-interfaze aukeratzen du sarrerako tunel batek?
RRASek sarrerako gune-interfazea parearen helbidearen, erabiltzaile-izenaren edo ziurtagiriaren subjektuaren arabera aukeratzen du, beraz irakurri gako hori gaituta eta konektatuta egoeretatik bereizita.
Gune-anitzeko interfazeak dituen Windows zerbitzari batean, kontsolako etiketa ez da soilik pertsonentzako ohar bat. RRASek sarrerako konexioaren eremu jakin bat erabiltzen du zein interfaze logikok erantzungo duen erabakitzeko, eta eremu hori autentifikazio-metodoarekin aldatzen da. Gakoa gaizki hartuta, interfazeak berrizendatuko dituzu zerbait kasualitatez konektatu arte. Hautaketa-araua, administrazio-egoera eta saio-egoera hiru gertaera bereiziak dira, eta horietako bakarra da izendapenari buruzkoa.
Mitoa: berrizendatutako interfazeak edozerekin bat egingo du
Adar batek konektatzen ez duenean, konponbide tentagarria gune-interfaze bat sortu edo berrizendatzea da, deitzailearen antza izan arte. Horrek autentifikazio-metodo bakarrarekin funtzionatzen du eta besteekin isilki huts egiten du, eta horregatik prozedura bera emaitza kontraesankorrekin pasatzen da. Gune-interfazea konexio-objektu logikoa da, bere helmuga, aurrizki babestuak eta egoera dituena. Ez da pakete zifratuak daramatzan adapter fisikoa, beraz sare-adapterrei begiratzeak ez dizu ezer esaten zein gune-objektu hautatu zen.
Hautaketak ez du zerikusirik urrutiko sarbideko erabiltzaile arruntekin ere. Langileen VPN bezeroek deitzen badute, beste rol bat dute, eta haien erabiltzaile-izenek ez dute inoiz mapatze honetan parte hartzen. Baieztatu deitzailea zein rolekoa den izen ezagun batean ezer irakurri aurretik.
Hiru autentifikazio-forma, hiru hautaketa-gako
Aurrez partekatutako gako batekin, interfazearen konfiguratutako helmuga-helbidea sarrerako parearen helbidearekin alderatzen da. Etiketa edozein izan daiteke, helbideak darama erabakia eta. Erabiltzaile-izenean oinarritutako autentifikazioarekin, interfazearen izena deitzaileak aurkeztutako erabiltzaile-izenarekin alderatzen da. Hemen etiketa da gakoa, eta horrexegatik dirudi berrizendatze batek gune bat konpondu eta beste bat hausten duela.
Ziurtagiriekin, interfazearen izena aurkeztutako ziurtagiriaren subjektu-izenarekin alderatzen da. Izenak subjektu horri dagokio, eta operadore batek asmatutako etiketa polit batek ez du balioko.
Bi ondorio datoz. Aurrez partekatutako gakoaren antolamenduan interfaze bakarra egon daiteke gaituta helmuga jakin baterako, beraz behin ikusitako helbide publiko bera partekatzen duten bi adarrek ezin dute biak erregistro bikoiztuekin zerbitzatu. Eta benetan konfiguratu duzun metodoak agintzen du, kontsolak zer iradokitzen duen edozein dela ere.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Gaituta ez dago konektatuta
Administrazio-egoerak esaten du interfaze logikoak lan egiteko baimena duen. Konexio-egoerak esaten du oraintxe saioa dagoen. Saiorik gabeko interfaze gaituta eskaeran markatzen duen esteka baterako atseden-egoera normala da, eta hori hutsegite gisa jakinarazteak jendea existitzen ez den eten baten atzetik bidaltzen du.
Erabili izenezko bilaketa edo dokumentatutako bideratze-domeinuaren bilaketa, baina ez bi parametroak batera, eta exekutatu aurreikusitako zerbitzari-testuinguruan. Espero duzun interfazea lehen zerrendan ez badago, arazoa egoeraren aurretik dago: ez zen ezer aukeratu.
Irakurri bikotea elkarrekin, ez bereizita. Ezarrita egon behar duen eta deskonektatuta agertzen den esteka batek ikerketa merezi du, eskaeran konektatzen den esteka alferra diseinatu bezala ari den bitartean. Bitartean, administratiboki desgaitutako interfazea ilun egongo da, urruneko aldea bere bideratzailea zenbat aldiz berrabiarazi ere.
Bi balioetako batek ere ez du frogatzen autentifikazioak arrakasta izan zuenik, negoziatutako babesak bat egiten duenik, ibilbideak instalatu zirenik edo aplikazio pribatua baimenduta dagoenik. Lau galdera desberdin dira, lau erantzun desberdinekin.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateIrakurri identitate-transakzioa ezer gaitutu aurretik
Sarrerako deitzaile bat espero ez zenuen interfaze batera mapatzen denean, froga erabilgarria aurkeztutako identitatea da, ez desgaitutako interfazeen zerrenda. Atera azken urrutiko sarbideko gertaerak eta irakurri deitzailearen helbidea, autentifikazioaren emaitza eta hautatutako interfazearen izena. Desgaitutako interfazea nahita erretiratutako gunea edo debekatutako bazkidea izan daiteke. Hori gaitzea saio-hasierako errore bat desagertzen den ikusteko bideratze- eta sarbide-ondorioak dituen konfigurazio-aldaketa da, beraz eraman erabakia gune-harreman horren jabearen bidez, bere helmuga, aurrizki babestuak eta politika barne.
Mapatzea benetan okerra bada, zuzendu gakoa, ez sintoma: zuzendu ziurtagiriaren subjektua edo interfazearen izena erabiltzaile-izenaren kasuan, eta helmuga aurrez partekatutako gakoaren kasuan. Gero konektatu berriro behin eta baieztatu deitzaile berak orain nahi den objektua hautatzen duela.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Itxi begizta baimendutako eragiketa batekin
Egoera berdea ez da onarpena. Interfaze zuzena hautatu ondoren, sortu diseinuak baimentzen duen trafikoa, aurrizki babestu bateko ostalaritik besteko ostalarirentzat, eta baieztatu erantzuna bide beretik itzultzen dela. Egin saiakera bera ukatu beharko litzatekeen ostalaritik, erabiliz Test-NetConnection -ComputerName 10.44.2.10 -Port 445 diseinuak baztertzen duen zerbitzu baten aurka, eta irakurri berriro urrutiko sarbideko gertaerak. Bere aurreikusitako aurrizkietatik harago daraman edo politikak baztertzen duen zerbitzu baterako erantzuten duen gune-esteka bideratze-errore bat da, inolako egoera-egiaztapenek agerian utziko ez duena.
Idatzi autentifikazio-metodoa, hautaketa-gakoa eta baimendutako aurrizkiak elkarrekin gunearen eragiketa-gidan. Hurrengo ingeniariak hiru balioko taula bera aurkituko du, eta izendapen-konbentzioak zentzua du testuinguru hori idatzita dagoenean soilik.