Windowsen barneko VPNak ez du hornitzaile baten SSL atebidera iristen: zergatik

Windowsekin lau tunel mota datoz, eta hornitzaile baten SSL atebidea ez da horietako bat. Barneko profila halako batera zuzentzen baduzu, konexioak huts egiten du kredentzialen eskaeraren aurretik, normalean tokiko sistemak konexioa amaitu duela dioen mezu batekin. Testu hori desegokitzapenaren seinale da, ez diagnosi bat. Profil motak eta protokoloaren jabe den bezeroak bat etorri behar dute, eta horietako bat falta da.

Lau mota eta elkarrizketa-koadro bat

Gordetako profil bakoitzak tunel mota bat darama. Barneko bezeroak PPTP, L2TP, IKEv2 eta SSTP onartzen ditu, eta haiek ordenan probatzen dituen modu automatikoa. Ez dago SSL VPN sarrera orokorrik, eta ez dago elkarrizketa-koadroaren bidez bat gehitzeko modurik. Hornitzaile baten atebideak bere aplikazio-protokoloa hitz egiten du TLS gainean, eta hornitzaile horren bezeroak soilik implementatzen du.

Zerrenda komando bat dago, eta merezi du beste edozein diagnosi aurretik exekutatzeak, segundo bat besterik ez duelako eta suposizio okerren klase oso bat kentzen duelako:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Profilak SSTP esaten badu eta atebidea ez bada RRAS zerbitzaria, desegokitzapena jada finkatuta dago. Ziurtagiri edo suebaki lanik ez du aldatzen.

SSTP eta hornitzailearen TLS berdinak dirudite 443 atakan

SSTPk PPP saio bat TLS barruan biltzen du eta TCP 443 gainean doa. Microsoften pilan RRASek amaitzen du, bezeroak baliozkotzen duen zerbitzari ziurtagiri bat aurkeztuz. Fortinet, Citrix edo Pulse gailu batek ere TLS amaitzen du 443an, eta haren ataria edozein nabigatzaileran irekitzen da kexarik gabe.

Nabigatzaile proba horrek irisgarritasuna frogatzen du, ez bateragarritasuna. Atariaren atzeko saio protokoloa hornitzailearena da, eta barneko bezeroak ez du haren inplementaziorik. Hornitzaileak bere bezeroa banatzen duen ala ez jakiteak desegokitzapenaren zein erdirekin ari zaren esaten dizu.

Alderantzizko nahasmena ere gertatzen da. RRAS zerbitzari benetako baten aurka SSTP gisa konfiguratutako profil batek ziurtagiriaren baliozkotzean huts egin dezake ataria ondo dagoen bitartean, eta hori ziurtagiri arazoa da, ez protokolo arazoa.

Tunela existitu aurretik agertzen diren erroreak

800 serieko kodeak edozein tunel ezarri aurretik jakinarazten dira, eta horregatik suebaki arauek gutxitan mugitzen dituzte. 812 errorea zerbitzariaren aldeko politika da, bezeroak eskainitako autentifikazio metodoa ukatzen duena. Barrutiko gainerakoak tokiko konexio kudeatzailerik datoz, ez sarekoak.

Aktibatu jarraipena ezer berreraiki aurretik. Jarraipenak huts egiten duen etapa izendatzen du, eta etaparen izenak elkarrizketa-koadroaren testuak baino gehiago balio du:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Jarraipenak jarraipen direktorioaren azpian lurreratzen dira eta hantxe geratzen dira garbitu arte, beraz, desaktibatu jarraipena geroago, ez utzi asteetan zehar martxan.

Konektatutako profil batek dena honda dezake oraindik

Konektatzen den eta gero nabigazioa, tokiko partekatze bat edo edukiontzi motor bat apurtzen duen profilak bideratze arazoa du, ez tunel arazoa. Ataka lehenetsia tunelera mugitu da, beraz helmuga bakoitza orain agian bideratuko ez duen pare baten bidez doa.

Bi kontrolk erabakitzen dute hau. Bata profileko split tunneling propietatea da. Bestea, adapter bakoitzeko aukera da urruneko sarean ataka lehenetsia erabiltzeko, IPv4 ezarpen aurreratuen azpian dagoena.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Split tunneling ibilbideak gehitu gabe aktibatzeak konektatzen den baina inora iristen ez den tunel bat sortzen du. DNS egiaztatu gabe desaktibatzeak erantzun publikoetara ebazten diren barne izenak sortzen ditu, adapterraren beraren atzizki eta zerbitzariak erabiltzen ez direlako.

Egiaztatu hoditeria, gero mota

Lan egin ordena honetan, eta gelditu pausu batek huts egiten duenean dena aldi berean doitzen hasi ordez:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Lehen komandoak irisgarritasuna protokolotik bereizten du. Bigarrenak profilak zer dela dioen baieztatzen du. Ibilbide taulak tunelak ibilbide lehenetsia harrapatu duen erakusten du. Markatze komandoak konexio kudeatzailearen beraren errorea jakinarazten du, askotan elkarrizketa-koadroa baino argiagoa dena.

Idatzi txartelean tunel mota, atebidearen produktua eta errore zehatza. Hurrengo pertsonak minutu batean jakingo du protokolo desegokitzapena, ziurtagiri hutsegitea edo bideratze erabakia den, “VPNak ez du funtzionatzen” hasten ordez.