Windows NAT-T erregistro-balioa: lehenengo topologia egiaztatu

Windows VPN konexio batek huts egiten du, bilaketa batek erregistro-balio bat itzultzen du, eta balioa berrabiaraztearekin batera sartzen da. Segidak batzuetan funtzionatzen du eta inoiz ez du ezer azaltzen. Aipatutako ezarpenak galdera bati erantzuten dio: non dagoen zerbitzaria NAT gailuarekiko, eta ez du zentzurik jakin arte zein protokolo eta zein etapatan huts egin zuen.

Zer hautatzen du balioak benetan

AssumeUDPEncapsulationContextOnSendRule-k erabakitzen du Windows IPsec inplementazio batek NAT gailu baten atzean dagoen pare batekin asoziazioak saiatuko dituen. Dokumentatutako 0 lehenespenak ez du kasu hori onartzen, 1ek onartzen du zerbitzaria NAT-aren atzean dagoenean, eta 2k bi muturren itzulpena barne hartzen du. Topologiari buruzko adierazpenak dira: nor non dagoen.

Segida gisa irakurrita, zenbakiek gero eta itzulpen gehiago deskribatzen dituzte, ez gero eta fidagarritasun handiagoa. Ezer itzultzen ez den sare batean 2 jartzeak ez du konexioa azkarragoa edo egonkorragoa egiten, eta ez du autentifikazio-hutsegitea konpontzen. Microsoft-en L2TP/IPsec-erako NAT gida politika eta haren plataforma-testuinguru historikoa dokumentatzen ditu. Konparatu testuinguru hori benetan exekutatzen duzun Windows bertsioarekin eta rolarekin, hainbat bertsio bizirik iraun dituen dokumentu bat ez baita egungo konpilazio bakoitzari buruzko adierazpena.

Egin bat topologia zenbakiarekin, zenbakia baino lehen

Marraztu bidea eta markatu itzulpen-puntuak: bezeroa etxeko router baten atzean dago, zerbitzaria karga-balantzatzaile baten edo helbideak berridazten dituen suebaki baten atzean dago, eta muturren bat kontrolatzen ez duzun eragilearen itzulpen baten atzean dago. Marrazki horren ondoren bakarrik erabaki dezakezu balioa aplikatzen den eta zein muturri.

Windows Server bertsioek NAT traversal desgaituta besterik gabe bidaltzen dutela dioen baieztapena zabalegia da horren gainean aritzeko. Garrantzitsua zure sistemako politika, haren aurreko topologia eta huts egin zuen elkartrukea da, ordena horretan. Bi muturrek helbide publikoak badituzte, ezarpena ez da zure arazoa. Begiratu proposamena, ziurtagiria edo kontua eta utzi erregistroa bakean.

Egiaztatu lehenengo hutsegitearen etapa

L2TP/IPsec gutxienez hiru hutsegite desberdin sortzen ditu: pareak ez du erantzuten, IPsec babesa ezin da ezarri, eta PPP erabiltzailearen autentifikazioa baztertu egiten da tunela existitzen ondoren. Baztertutako kontua ezin da NAT politika aldatuz konpondu, eta proposamen-desberdintasuna ezin da berrabiaraziz konpondu.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Erantzulerik gabeko denbora-mugak irisgarritasuna edo iragazketa iradokitzen ditu, ez politika. Proposamen-mezudun baztertze azkarrak algoritmoetara bideratzen du. Tunela altxatu ondorengo hutsegitea autentifikazio-etapari dagokio, eta hori beste jabe bat eta beste konponbide bat da.

HTTPS gaineko SSTP-k eta IKEv2 natiboak beren erregistroak eta beren kontrolak dituzte. Horietako ezer ez da NAT-traversal kasu bihurtzen Windows-en ere exekutatzen delako soilik.

Egin aldaketa itzulera-bidearekin

Dokumentatutako politikak eta behatutako topologiak biak hala eskatzen badute, idatzi aurreko balioa, aplikatu aldaketa kudeatutako konfigurazioaren bidez eta ez profil bakoitzeko script baten bidez, eta planifikatu berrabiaraztea. Beste lan-karga batzuk onartzen dituen zerbitzari batean, hau ez da aldaketa arina.

NAT gailuak kapsulatutako garraioa eta itzulerako trafikoa eraman behar ditu oraindik. Erregistro-balio batek ez du birbidaltze-araua sortzen, ez ditu proposamenak lerrokatzen eta ez du identitaterik baliozkotzen, beraz aldaketaren ondoren funtzionatzen hasi den konexio bat erabat beste arrazoi batengatik funtziona dezake. Probatu berriro jatorrizko protokoloa jatorrizko topologiarekin, eta gero idatzi zein etapatan huts egin zuen eta zergatik espero zen balioak hori konpontzea. Esaldi hori da interneteko zurrumurru bat defenda dezakezun konfigurazio bihurtzen duena.