Ynboudene VPN fan Windows berikt gjin SSL-poarte fan in leveransier: wêrom

Windows komt mei fjouwer tunneltypen, en in leveransierspoarte is der net ien fan. Rjochtsje dochs in ynboudene profyl op sa’n poarte en de ferbining mislearret foar de oanmeldprompt, meastentiids mei in berjocht dat de ferbining troch it lokale systeem einige is. Dy tekst is in sinjaal fan misfit, gjin diagnoaze. It profyltype en de klient dy’t it protokol besit, moatte oerienkomme, en ien fan beide ûntbrekt.

Fjouwer typen en ien dialoochfinster

Elk bewarre profyl draacht in tunneltype. De ynboudene klient akseptearret PPTP, L2TP, IKEv2 en SSTP, plus in automatyske modus dy’t se op folchoarder besiket. Der is gjin algemiene SSL VPN-yngong, en der is gjin manier om ien fia it dialoochfinster ta te foegjen. In leveransierspoarte praat syn eigen applikaasjeprotokol oer TLS, dat allinnich de klient fan dy leveransier ymplemintearret.

De list is ien opdracht fuort, en it is de muoite wurdich dy foar alle oare probleemoplossing te draaien, want it duorret in sekonde en hellet in hiele klasse ferkearde oannames fuort:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

As it profyl SSTP seit en de poarte is gjin RRAS-tsjinner, dan is de misfit al fêststeld. Gjin sertifikaat- of firewallwurk feroaret dat.

SSTP en leveransier-TLS lykje itselde op poarte 443

SSTP pakket in PPP-sesje yn TLS en rydt oer TCP 443. Yn de Microsoft-stapel wurdt dy einige troch RRAS, dat in tsjinnersertifikaat presintearret dat de klient falidearret. In Fortinet-, Citrix- of Pulse-apparaat einiget ek TLS op 443, en syn portaal iepenet yn elke browser sûnder klacht.

Dy browsertest bewiist berikberens, gjin kompatibiliteit. It sesjeprotokol efter it portaal heart by de leveransier, en de ynboudene klient hat der gjin ymplemintaasje fan. Oft de leveransier in eigen klient leveret, fertelt jo hokker helte fan de misfit jo behannelje.

De omkearde betizing bart ek. In profyl dat as SSTP is ynsteld tsjin in echte RRAS-tsjinner kin mislearje op sertifikaatfalidaasje wylst it portaal goed is, en dat is in sertifikaatprobleem en gjin protokolprobleem.

Flaters dy’t ferskine foardat in tunnel bestiet

De koades fan de 800-searje wurde rapportearre foardat in tunnel fêststeld is, dêrom ferpleatse firewallregels se selden. Flater 812 is in tsjinnerbelied dat de autentikaasjemetoade wegeret dy’t de klient oanbea. Oaren yn it berik komme fan de lokale ferbiningsbehearder en net fan it netwurk.

Skeakelje tracing yn foardat jo wat dan ek wer opbouwe. De tracing neamt de etappe dy’t mislearret, en in etappenamme is mear wurdich as de dialoochtekst:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Tracings komme ûnder de tracingmap telâne en bliuwe dêr oant jo se wiskje, dus skeakelje tracing dêrnei út ynstee fan it wikenlang rinne te litten.

In ferbûn profyl kin dochs alles brekke

In profyl dat ferbynt en dan browsers, in lokale dieling of in konteneromjouwing brekt, hat in rûteprobleem, gjin tunnelprobleem. De standertpoarte is nei de tunnel ferhuze, dus elke bestimming giet no troch in partner dy’t it miskien net rûtet.

Twa bedieningen beslisse dit. Ien is de split-tunneling-eigenskip op it profyl. De oare is de opsje per adapter om de standertpoarte op it ôfstâne netwurk te brûken, dy’t ûnder de avansearre IPv4-ynstellingen sit.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Split tunneling oansette sûnder rûtes ta te foegjen jout in tunnel dy’t ferbynt en neat berikt. It útsette sûnder DNS te kontrolearjen jout ynterne nammen dy’t nei publike antwurden oplosse, om’t de eigen efterheaksel en tsjinners fan de adapter net brûkt wurde.

Kontrolearje it liedingswurk, dan it type

Wurkje yn dizze oarder, en stopje as in stap mislearret ynstee fan alles tagelyk by te stellen:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

It earste opdracht skiedt berikberens fan protokol. It twadde befêstiget wat it profyl seit te wêzen. De rûtetabel lit sjen oft de tunnel de standertrûte pakt hat. It kiesopdracht rapportearret de eigen flater fan de ferbiningsbehearder, dy’t faak dúdliker is as it dialoochfinster.

Skriuw it tunneltype, it poarteprodukt en de krekte flater yn it ticket. De folgjende persoan wit dan binnen in minút oft it in protokolmisfit, in sertifikaatflater of in rûtebeslissing is, ynstee fan te begjinnen by “de VPN wurket net”.