کدام رابط سایت RRAS یک تونل ورودی را انتخاب می‌کند؟
RRAS رابط سایت ورودی را بر اساس نشانی همتا، نام کاربری یا موضوع گواهی انتخاب می‌کند، پس آن کلید را جدا از وضعیت‌های فعال و متصل بخوانید.
روی سرور Windows با چند رابط سایت‌به‌سایت، برچسب کنسول فقط یادداشتی برای انسان نیست. RRAS از فیلدی مشخص در اتصال ورودی استفاده می‌کند تا تعیین کند کدام رابط منطقی پاسخ می‌دهد، و آن فیلد با روش احراز هویت تغییر می‌کند. اگر کلید را اشتباه بگیرید، نام رابط‌ها را تغییر می‌دهید تا چیزی از روی شانس وصل شود. قاعده انتخاب، وضعیت مدیریتی و وضعیت نشست سه واقعیت جداگانه‌اند و فقط یکی از آن‌ها درباره نام‌گذاری است.
افسانه: رابط تغییرنام‌یافته با هر چیزی مطابقت پیدا می‌کند
اصلاح وسوسه‌انگیز وقتی شاخه‌ای نمی‌تواند وصل شود این است که یک رابط سایت بسازید یا نامش را عوض کنید تا شبیه فراخواننده شود. این کار برای یک روش احراز هویت جواب می‌دهد و برای بقیه بی‌صدا شکست می‌خورد، و به همین دلیل همان رویه با نتایج متناقض دست‌به‌دست می‌شود. رابط سایت یک شیء اتصال منطقی با مقصد، پیشوندهای محافظت‌شده و وضعیت خودش است. این آداپتور فیزیکی حامل بسته‌های رمزنگاری‌شده نیست، پس نگاه کردن به آداپتورهای شبکه هیچ چیزی درباره اینکه کدام شیء سایت انتخاب شده به شما نمی‌گوید.
انتخاب هیچ ربطی به کاربران عادی دسترسی از راه دور هم ندارد. اگر کلاینت‌های VPN کارمندان تماس می‌گیرند، نقشی متفاوت دارند و نام‌های کاربری آن‌ها هرگز در این نگاشت شرکت نمی‌کنند. پیش از آنکه در یک نام آشنا معنایی بخوانید، تأیید کنید فراخواننده به کدام نقش تعلق دارد.
سه شکل احراز هویت، سه کلید انتخاب
با کلید از پیش به‌اشتراک‌گذاشته‌شده، نشانی مقصد پیکربندی‌شده رابط با نشانی همتای ورودی مقایسه می‌شود. برچسب می‌تواند هر چیزی باشد، چون تصمیم را نشانی حمل می‌کند. با احراز هویت مبتنی بر نام کاربری، نام رابط با نام کاربری ارائه‌شده توسط فراخواننده مقایسه می‌شود. اینجا برچسب همان کلید است، و دقیقاً به همین دلیل است که تغییر نام می‌تواند به نظر برسد یک سایت را درست و سایت دیگری را خراب می‌کند.
با گواهی‌ها، نام رابط با نام موضوع در گواهی ارائه‌شده مقایسه می‌شود. نام باید با آن موضوع مطابقت داشته باشد و برچسب زیبایی که یک اپراتور اختراع کند کافی نیست.
دو پیامد دارد. در ترتیب کلید از پیش به‌اشتراک‌گذاشته‌شده برای یک مقصد معین فقط یک رابط می‌تواند فعال باشد، پس دو شاخه که یک نشانی عمومی مشاهده‌شده را مشترک دارند نمی‌توانند هر دو با ورودی‌های تکراری سرویس بگیرند. و روشی که واقعاً پیکربندی کرده‌اید حاکم است، هر چه کنسول پیشنهاد دهد.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
فعال بودن به معنای متصل بودن نیست
وضعیت مدیریتی می‌گوید آیا رابط منطقی مجاز به کار است. وضعیت اتصال می‌گوید آیا همین حالا نشستی وجود دارد. رابط فعال بدون نشست یک وضعیت استراحت عادی برای پیوند شماره‌گیری بر اساس تقاضاست و گزارش آن به‌عنوان خرابی مردم را دنبال قطعی می‌فرستد که وجود ندارد.
از جستجوی نامی یا جستجوی مستند دامنه مسیریابی استفاده کنید، اما نه هر دو پارامتر با هم، و آن را در زمینه سرور مورد نظر اجرا کنید. اگر رابطی که انتظار دارید در فهرست اول نیست، مشکل پیش از وضعیت است: هیچ چیز اصلاً انتخاب نشده.
این جفت را با هم بخوانید نه جداگانه. پیوندی که قرار است برقرار بماند و قطع‌شده نشان داده می‌شود شایسته بررسی است، در حالی که پیوند بیکار شماره‌گیری بر اساس تقاضا که هنگام نیاز وصل می‌شود همان‌طور که طراحی شده رفتار می‌کند. در همین حال رابط غیرفعال‌شده به‌صورت مدیریتی تاریک می‌ماند، هر چند بار که طرف دور روتر خود را دوباره راه‌اندازی کند.
هیچ‌یک از دو مقدار اثبات نمی‌کند احراز هویت موفق شده، حفاظت مورد توافق مطابقت دارد، مسیرها نصب شده‌اند یا برنامه خصوصی مجاز است. این‌ها چهار پرسش متفاوت با چهار پاسخ متفاوت هستند.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateپیش از فعال کردن هر چیزی تراکنش هویت را بخوانید
وقتی فراخواننده ورودی به رابطی نگاشت می‌شود که انتظارش را نداشتید، شاهد مفید هویتی است که ارائه کرده، نه فهرست رابط‌های غیرفعال. رویدادهای اخیر دسترسی از راه دور را بیرون بکشید و نشانی فراخواننده، نتیجه احراز هویت و نام رابط انتخاب‌شده را بخوانید. رابط غیرفعال می‌تواند سایتی باشد که عمداً بازنشسته شده یا شریکی ممنوع. فعال کردن آن برای دیدن اینکه آیا یک خطای ورود برطرف می‌شود تغییری در پیکربندی با پیامدهای مسیریابی و دسترسی است، پس تصمیم را از صاحب آن رابطه سایت، همراه با مقصد، پیشوندهای محافظت‌شده و خط‌مشی آن عبور دهید.
اگر نگاشت واقعاً اشتباه است، کلید را درست کنید نه نشانه را: موضوع گواهی یا در مورد نام کاربری نام رابط را اصلاح کنید و در مورد کلید از پیش به‌اشتراک‌گذاشته‌شده مقصد را. سپس یک بار دوباره وصل شوید و تأیید کنید همان فراخواننده اکنون شیء مورد نظر را انتخاب می‌کند.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }حلقه را با یک عملیات مجاز ببندید
وضعیت سبز پذیرش نیست. هنگامی که رابط درست انتخاب شد، ترافیکی تولید کنید که طراحی مجاز می‌داند، از میزبان در یک پیشوند محافظت‌شده به میزبان در دیگری، و تأیید کنید پاسخ از همان مسیر برمی‌گردد. همان تلاش را از میزبانی اجرا کنید که باید رد شود، با استفاده از Test-NetConnection -ComputerName 10.44.2.10 -Port 445 در برابر سرویسی که طراحی آن را کنار می‌گذارد، و رویدادهای دسترسی از راه دور را دوباره بخوانید. پیوند سایتی که بیش از پیشوندهای در نظر گرفته‌شده‌اش حمل می‌کند، یا برای سرویسی پاسخ می‌دهد که خط‌مشی آن را کنار می‌گذارد، خطای مسیریابی است که هیچ مقدار بررسی وضعیت آن را آشکار نمی‌کند.
روش احراز هویت، کلید انتخاب و پیشوندهای مجاز را با هم در کتابچه عملیات سایت ثبت کنید. مهندس بعدی همان جدول سه‌مقداری را خواهد دید و قرارداد نام‌گذاری فقط زمانی معنا دارد که آن زمینه نوشته شده باشد.