Hokker RRAS-side-ynterface kiest in ynkommende tunnel?
RRAS kiest in ynkommende side-ynterface op basis fan peer-adres, brûkersnamme of sertifikaatûnderwerp, dus lês dy kaai apart fan syn aktivearre en ferbûne steaten.
Op in Windows-tsjinner mei ferskate side-oant-side-ynterfaces is in konsol-label net allinnich in notysje foar minsken. RRAS brûkt in beskaat fjild út ’e ynkommende ferbining om te beslissen hokker logyske ynterface antwurdet, en dat fjild feroaret mei de autentikaasjemetoade. Krijst de kaai ferkeard, dan weromneame jo ynterfaces oant der wat by tafal ferbynt. De seleksjeregel, de bestjoerlike steat en de sesjestatus binne trije aparte feiten, en mar ien fan harren giet oer neamen.
De myte: in weromneamd ynterface past by alles
De ferliedlike repaaraasje as in filiaal net ferbine kin, is in side-ynterface oanmeitsje of weromneame oant it op ’e oanropper liket. Dat wurket foar ien autentikaasjemetoade en mislearret stil foar de oaren, en dêrom wurdt deselde proseduere mei tsjinstridige resultaten trochjûn. In side-ynterface is in logysk ferbiningsobjocht mei syn eigen bestimming, beskerme prefiksen en steat. It is net de fysike adapter dy’t de fersifere pakketten draacht, dus nei netwurkadapters sjen fertelt jo neat oer hokker side-objocht keazen is.
De seleksje hat ek neat te krijen mei gewoane brûkers fan ’e ôfstânstagonklik. As VPN-klanten fan meiwurkers ynbelje, hawwe se in oare rol, en harren brûkersnammen dogge nea mei oan dizze mapping. Befêstigje by hokker rol de oanropper heart foardat jo eat yn in fertroude namme lêze.
Trije autentikaasjefoarmen, trije seleksjekaaien
Mei in foarôf dielde kaai wurdt it konfigurearre bestimmingsadres fan ’e ynterface fergelike mei it adres fan ’e ynkommende peer. It label kin fan alles wêze, want it adres draacht de beslissing. Mei autentikaasje op brûkersnamme wurdt de ynterfacenamme fergelike mei de brûkersnamme dy’t de oanropper presintearret. Hjir is it label de kaai, en dêrom kin in weromneamen lykje dat it ien side reparearret en in oare brekt.
Mei sertifikaten wurdt de ynterfacenamme fergelike mei de ûnderwerpnamming yn it presintearre sertifikaat. De namme moat oerienkomme mei dat ûnderwerp, en in moai label dat in operator betinkt sil net foldwaan.
Twa gefolgen folgje. Yn ’e opstelling mei foarôf dielde kaai kin foar in beskaat doel mar ien ynterface aktivearre wêze, dus twa filialen dy’t ien waarnommen iepenbier adres diele, kinne net beide betsjinne wurde troch dûbele ynfieringen. En hokker metoade jo ek wier konfigurearre hawwe, dy is jildich, wat de konsol ek suggerearret.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Aktivearre is net ferbûn
Bestjoerlike status seit oft de logyske ynterface wurkje mei. Ferbiningsteat seit oft der no in sesje is. In aktivearre ynterface sûnder sesje is in normale rêststân foar in ferbining op oanfraach, en it as in stoarning melde stjoert minsken efter in ûnderbrekking oan dy’t der net is.
Brûk in neamde sykopdracht of de dokumintearre sykopdracht yn it routingsdomein, mar net beide parameters tagelyk, en fierse it út yn ’e bedoelde tsjinnerkontekst. As de ynterface dy’t jo ferwachtsje yn ’e earste list mist, leit it probleem foar de steat: der is hielendal neat keazen.
Lês it pear tegearre ynstee fan apart. In ferbining dy’t fêst bliuwe moat en as ferbrutsen toant, fertsjinnet ûndersyk, wylst in ledige ferbining op oanfraach dy’t ferbynt as it nedich is, him hâldt sa’t er ûntwurpen is. Underwilens bliuwt in bestjoerlik útskeakele ynterface tsjuster, hoefolle kearen de oare kant syn router ek werstartet.
Gjin fan beide wearden bewiist dat autentikaasje slagge is, dat de ûnderhannele beskerming oerienkomt, dat rûtes ynstallearre binne of dat de privee-applikaasje tastien is. Dat binne fjouwer ferskillende fragen mei fjouwer ferskillende antwurden.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLês de identiteitstransaksje foardat jo eat aktivearje
As in ynkommende oanropper mapt op in ynterface dy’t jo net ferwachte, dan is it nuttige bewiis de identiteit dy’t er presintearre, net de list fan útskeakele ynterfaces. Helje de resinte foarfallen fan ôfstânstagonklik en lês it adres fan ’e oanropper, de útkomst fan ’e autentikaasje en de namme fan ’e keazen ynterface. In útskeakele ynterface kin in bewust ôftanke side of in ferbeane partner wêze. It aktivearjen om te sjen oft ien oanmeldflater ferdwynt is in konfiguraasjeferoaring mei gefolgen foar routing en tagong, dus lied de beslissing troch de eigner fan dy side-relaasje, tegearre mei syn bestimming, beskerme prefiksen en belied.
As de mapping wier ferkeard is, reparearje dan de kaai en net it symptom: reparearje it sertifikaatûnderwerp of, yn it gefal fan ’e brûkersnamme, de ynterfacenamme, en yn it gefal fan ’e foarôf dielde kaai de bestimming. Ferbyn dan ien kear opnij en befêstigje dat deselde oanropper no it bedoelde objocht kiest.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Slút de lus mei in tastiene operaasje
In griene steat is gjin akseptaasje. Sadree’t de goede ynterface keazen is, generearje ferkear dat it ûntwerp tastiet, fan in host yn ien beskerme prefiks nei in host yn ’e oare, en befêstigje dat it antwurd oer itselde paad weromkomt. Fierse deselde poging út fan in host dat wegere wurde moat, mei Test-NetConnection -ComputerName 10.44.2.10 -Port 445 tsjin in tsjinst dy’t it ûntwerp útslút, en lês de foarfallen fan ôfstânstagonklik wer. In side-ferbining dy’t mear as syn bedoelde prefiksen draacht, of dy’t antwurdet foar in tsjinst dy’t it belied útslút, is in routingflater dy’t gjin steatkontrôle oan it ljocht bringe sil.
Skriuw de autentikaasjemetoade, de seleksjekaai en de tastiene prefiksen tegearre yn it bedriuwsboek fan ’e side. De folgjende yngenieur treft deselde tabel mei trije wearden, en de neamkonvinsje hat pas sin as dy kontekst opskreaun is.