چرا VPN داخلی ویندوز به دروازه SSL یک فروشنده نمی‌رسد

ویندوز چهار نوع تونل دارد و دروازه SSL فروشنده هیچ‌کدام از آن‌ها نیست. با این حال اگر پروفایل داخلی را به چنین دروازه‌ای اشاره دهید، اتصال پیش از پرسش اعتبارنامه شکست می‌خورد، معمولاً با پیامی که می‌گوید سیستم محلی اتصال را پایان داده است. آن متن نشانه ناسازگاری است، نه تشخیص. نوع پروفایل و کلاینتی که مالک پروتکل است باید هم‌خوان باشند، و یکی از آن دو غایب است.

چهار نوع و یک پنجره گفت‌وگو

هر پروفایل ذخیره‌شده یک نوع تونل دارد. کلاینت داخلی PPTP، L2TP، IKEv2 و SSTP را می‌پذیرد، به‌همراه حالت خودکاری که آن‌ها را به ترتیب می‌آزماید. هیچ ورودی عمومی SSL VPN وجود ندارد و راهی برای افزودن آن از طریق پنجره گفت‌وگو نیست. دروازه فروشنده پروتکل کاربردی خودش را روی TLS صحبت می‌کند که تنها کلاینت همان فروشنده آن را پیاده‌سازی می‌کند.

فهرست فقط یک فرمان دورتر است و ارزش دارد پیش از هر عیب‌یابی دیگری اجرا شود، چون یک ثانیه طول می‌کشد و یک طبقه کامل از فرض‌های نادرست را حذف می‌کند:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

اگر پروفایل بگوید SSTP و دروازه سرور RRAS نباشد، ناسازگاری از پیش ثابت شده است. هیچ کاری روی گواهی یا دیوار آتش آن را تغییر نمی‌دهد.

SSTP و TLS فروشنده روی درگاه 443 یکسان به نظر می‌رسند

SSTP یک نشست PPP را درون TLS می‌پیچد و روی TCP 443 حرکت می‌کند. در پشته مایکروسافت RRAS آن را پایان می‌دهد و گواهی سروری ارائه می‌کند که کلاینت آن را اعتبارسنجی می‌کند. دستگاه Fortinet، Citrix یا Pulse هم TLS را روی 443 پایان می‌دهد و دروازه‌اش در هر مرورگری بدون شکایت باز می‌شود.

آن آزمون مرورگر دسترس‌پذیری را ثابت می‌کند، نه سازگاری. پروتکل نشست پشت دروازه متعلق به فروشنده است و کلاینت داخلی هیچ پیاده‌سازی از آن ندارد. اینکه فروشنده کلاینت خودش را عرضه می‌کند یا نه می‌گوید با کدام نیمه ناسازگاری روبه‌رو هستید.

سردرگمی معکوس هم پیش می‌آید. پروفایلی که به‌عنوان SSTP در برابر سرور RRAS واقعی تنظیم شده ممکن است در اعتبارسنجی گواهی شکست بخورد، در حالی که دروازه سالم است، و این مشکل گواهی است نه مشکل پروتکل.

خطاهایی که پیش از وجود تونل ظاهر می‌شوند

کدهای سری 800 پیش از برقراری هر تونلی گزارش می‌شوند، به همین دلیل قواعد دیوار آتش به‌ندرت آن‌ها را جابه‌جا می‌کنند. خطای 812 سیاستی در سمت سرور است که روش احراز هویتی را که کلاینت پیشنهاد داده رد می‌کند. بقیه در این محدوده از مدیر اتصال محلی می‌آیند، نه از شبکه.

پیش از بازسازی هر چیزی ردگیری را روشن کنید. ردگیری مرحله شکست‌خورده را نام می‌برد، و یک نام مرحله از متن پنجره گفت‌وگو ارزشمندتر است:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

ردگیری‌ها در پوشه ردگیری فرود می‌آیند و تا وقتی پاکشان نکنید همان‌جا می‌مانند، پس بعداً ردگیری را خاموش کنید و آن را هفته‌ها روشن نگذارید.

پروفایل متصل هم می‌تواند همه‌چیز را خراب کند

پروفایلی که وصل می‌شود و سپس مرور، یک اشتراک محلی یا موتور کانتینر را خراب می‌کند مشکل مسیریابی دارد، نه مشکل تونل. دروازه پیش‌فرض به تونل منتقل شده است، پس هر مقصد اکنون از همتایی می‌گذرد که ممکن است آن را مسیریابی نکند.

دو تنظیم این را تعیین می‌کند. یکی ویژگی تونل تقسیم‌شده در پروفایل است. دیگری گزینه هر آداپتور برای استفاده از دروازه پیش‌فرض در شبکه راه دور است که در تنظیمات پیشرفته IPv4 قرار دارد.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

روشن کردن تونل تقسیم‌شده بدون افزودن مسیرها تونلی می‌سازد که وصل می‌شود و به هیچ‌جا نمی‌رسد. خاموش کردن آن بدون بررسی DNS نام‌های داخلی را به پاسخ‌های عمومی تبدیل می‌کند، چون پسوند و سرورهای خود آداپتور استفاده نمی‌شوند.

ابتدا لوله‌کشی را بررسی کنید، سپس نوع را

به این ترتیب کار کنید و وقتی یک مرحله شکست خورد بایستید، به‌جای اینکه همه‌چیز را یک‌جا تنظیم کنید:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

فرمان اول دسترس‌پذیری را از پروتکل جدا می‌کند. دومی تأیید می‌کند پروفایل چه ادعایی دارد. جدول مسیرها نشان می‌دهد آیا تونل مسیر پیش‌فرض را گرفته است. فرمان شماره‌گیری خطای خود مدیر اتصال را گزارش می‌کند که اغلب از پنجره گفت‌وگو روشن‌تر است.

نوع تونل، محصول دروازه و خطای دقیق را در تیکت ثبت کنید. آن‌گاه نفر بعدی در یک دقیقه می‌داند که این ناسازگاری پروتکل، شکست گواهی یا تصمیم مسیریابی است، به‌جای اینکه از «VPN کار نمی‌کند» شروع کند.