Minkä RRAS-toimipaikkaliittymän saapuva tunneli valitsee?
RRAS valitsee saapuvan toimipaikkaliittymän vertaisosoitteen, käyttäjänimen tai varmenteen subjektin perusteella, joten lue tämä avain erillään sen käytössä ja yhdistetty -tiloista.
Windows-palvelimella, jossa on useita toimipaikka-toimipaikka-liittymiä, konsolin nimike ei ole vain ihmisille tarkoitettu muistiinpano. RRAS käyttää saapuvasta yhteydestä tiettyä kenttää päättääkseen, mikä looginen liittymä vastaa, ja tämä kenttä vaihtuu todennusmenetelmän mukaan. Jos avain menee väärin, nimeät liittymiä uudelleen, kunnes jokin yhdistyy sattumalta. Valintasääntö, hallinnollinen tila ja istunnon tila ovat kolme erillistä tosiasiaa, ja vain yksi niistä koskee nimeämistä.
Myytti: uudelleen nimetty liittymä sopii mihin tahansa
Houkkueleva korjaus, kun toimipiste ei saa yhteyttä, on luoda tai nimetä toimipaikkaliittymä uudelleen, kunnes se muistuttaa soittajaa. Se toimii yhdellä todennusmenetelmällä ja epäonnistuu hiljaa muilla, ja siksi sama menettely kiertää ristiriitaisin tuloksin. Toimipaikkaliittymä on looginen yhteysolio, jolla on oma kohde, suojatut etuliitteet ja tila. Se ei ole salatut paketit kuljettava fyysinen sovitin, joten verkkosovittimien katselu ei kerro mitään siitä, mikä toimipaikkaolio valittiin.
Valinnalla ei myöskään ole mitään tekemistä tavallisten etäkäyttäjien kanssa. Jos työntekijöiden VPN-asiakkaat soittavat, heillä on eri rooli, eivätkä heidän käyttäjänimensä koskaan osallistu tähän mappaukseen. Vahvista, mihin rooliin soittaja kuuluu, ennen kuin luet tuttua nimeä mitenkään.
Kolme todennusmuotoa, kolme valinta-avainta
Jaetulla avaimella liittymän määritettyä kohdeosoitetta verrataan saapuvan vertaisen osoitteeseen. Nimike voi olla mitä tahansa, koska osoite kantaa päätöksen. Käyttäjänimeen perustuvassa todennuksessa liittymän nimeä verrataan soittajan esittämään käyttäjänimeen. Tässä nimike on avain, ja juuri siksi uudelleen nimeäminen voi näyttää korjaavan yhden toimipaikan ja rikkovan toisen.
Varmenteilla liittymän nimeä verrataan esitetyn varmenteen subjektin nimeen. Nimen on vastattava kyseistä subjektia, eikä käyttäjän keksimä kaunis nimike riitä.
Tästä seuraa kaksi seurausta. Jaetun avaimen järjestelyssä tietylle kohteelle voi olla käytössä vain yksi liittymä, joten kaksi toimipistettä, jotka jakavat yhden havaitun julkisen osoitteen, eivät voi molemmat saada palvelua kaksoiskirjauksilla. Ja se menetelmä, jonka tosiasiassa määritit, määrää, mitä konsoli ehdottaneekin.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Käytössä ei ole yhdistetty
Hallinnollinen tila kertoo, saako looginen liittymä toimia. Yhteyden tila kertoo, onko istunto juuri nyt olemassa. Käytössä oleva liittymä ilman istuntoa on normaali lepotila kysynnän mukaan valittavalle yhteydelle, ja sen raportointi vikana lähettää ihmiset jahtaamaan katkosta, jota ei ole.
Käytä nimettyä hakua tai dokumentoitua reititystoimialueen hakua, mutta älä molempia parametreja yhdessä, ja suorita se aiotussa palvelinkontekstissa. Jos odotettu liittymä puuttuu ensimmäisestä luettelosta, ongelma on tilaa aiemmin: mitään ei valittu lainkaan.
Lue pari yhdessä, älä erikseen. Yhteys, jonka on tarkoitus pysyä muodostettuna ja joka näkyy katkaistuna, ansaitsee tutkinnan, kun taas joutilas kysynnän mukaan yhdistyvä yhteys käyttäytyy kuten suunniteltu. Sillä välin hallinnollisesti poistettu liittymä pysyy pimeänä, kuinka monta kertaa tahansa vastapuoli käynnistää reitittimensä uudelleen.
Kumpikaan arvo ei todista, että todennus onnistui, että neuvoteltu suojaus vastaa, että reitit asennettiin tai että yksityinen sovellus on sallittu. Ne ovat neljä eri kysymystä, joilla on neljä eri vastausta.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLue identiteettitapahtuma ennen kuin otat mitään käyttöön
Kun saapuva soittaja mappautuu liittymään, jota et odottanut, hyödyllinen todiste on sen esittämä identiteetti, ei luettelo poissa käytöstä olevista liittymistä. Hae viimeisimmät etäkäyttötapahtumat ja lue soittajan osoite, todennuksen tulos ja valitun liittymän nimi. Pois käytöstä oleva liittymä voi olla tarkoituksella käytöstä poistettu toimipaikka tai kielletty kumppani. Sen ottaminen käyttöön sen katsomiseksi, poistuuko yksi kirjautumisvirhe, on määritysmuutos, jolla on reititys- ja käyttöoikeusvaikutuksia, joten vie päätös kyseisen toimipaikkasuhteen omistajan kautta, yhdessä sen kohteen, suojattujen etuliitteiden ja käytännön kanssa.
Jos mappaus on todella väärä, korjaa avain äläkä oiretta: korjaa varmenteen subjekti tai käyttäjänimen tapauksessa liittymän nimi ja jaetun avaimen tapauksessa kohde. Yhdistä sitten kerran uudelleen ja vahvista, että sama soittaja valitsee nyt aiottu olion.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Sulje silmukka sallitulla toiminnolla
Vihreä tila ei ole hyväksyntä. Kun oikea liittymä on valittu, tuota liikennettä, jonka suunnittelu sallii, isännästä yhdessä suojatussa etuliitteessä isäntään toisessa, ja vahvista, että vastaus palaa samaa polkua. Suorita sama yritys isännästä, joka pitäisi hylätä, käyttämällä Test-NetConnection -ComputerName 10.44.2.10 -Port 445 palvelua vastaan, jonka suunnittelu sulkee pois, ja lue etäkäyttötapahtumat uudelleen. Toimipaikkayhteys, joka kuljettaa enemmän kuin aiotut etuliitteensä tai vastaa palvelulle, jonka käytäntö sulkee pois, on reititysvirhe, jota mikään tilantarkistus ei paljasta.
Kirjaa todennusmenetelmä, valinta-avain ja sallitut etuliitteet yhdessä toimipaikan käyttöohjeeseen. Seuraava insinööri kohtaa saman kolmen arvon taulukon, ja nimeämiskäytäntö on mielekäs vasta, kun tämä asiayhteys on kirjoitettu.