Windows-VPN-flaterkoades: hokker faze mislearre, en wat te loggen

Iepenje de Windows-VPN-dialooch nei in flater en dy jout jo in nûmer en in sin, wêrby't de sin meastentiids de minst nuttige helte is. It nûmer jout oan hokker faze fan de ferbining mislearre, en de faze bepaalt hokker log, hokker ynstelling en hokker team jo folgjende besjen moatte. De fazen yn folchoarder trochwurkje duorret sawat tsien minuten en foarkomt de bekende searje fan adapterwerienstallaasje, protokolferskowing en it weromsetten fan de stapel om in akkount te reparearjen dat nea tastien wie om te skiljen.

Lês it nûmer as in faze

In native ferbining giet troch fjouwer mylpeallen. It berikt de tsjinner en leit in keppeling, it ûnderhannelet befeiliging, it autentisearret de brûker, en it tapast adressearjen en routen. In flater by elk fan dy lit oar bewiis efter, en in koade dy't by ien faze heart, seit neat nuttichs oer de oaren.

De flater om te foarkommen is de koade as in earnstgraad te behanneljen. In keppelingsflater en in autorisaasjeflater wurde beide lêzen as "koe net ferbine", en se hawwe fierder neat mienskiplik. Earnst seit hoe driuwend iets is; de faze seit wat te iepenjen.

Faze ien: de keppeling en it skilletutsjen

829 betsjut dat de ûnderlizzende keppeling ôfbrutsen is. It seit net oft de fiere partner opholden is mei antwurdzjen, oft in middenkast de sesje deamakke hat, of oft in belied op 'e klant it sletten hat. In skilôfrondingskoade lykas 703 is noch earder: it besykjen kaam nea sa fier dat it in keppeling hie, wat meastentiids op it profyl, de tsjinststatus of in lokaal belied wiist.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

De barrenfraach is it part dat minsken oerslaan. In oan-de-klantkant-registraasje mei in tiidstimpel en in ynterfaysnamme is mear wurdich as de dialooch, want it seit oft it besykjen de masine wol ferlitten hat. Gjin registraasje en gjin antwurd fan de harker is in berikberensprobleem, en gjin inkel oanpasse fan de klant feroaret dat.

As itselde profyl op in oar netwurk wurket, stopje hjir. De koade beskriuwt in betingst fan it paad en net in konfiguraasjeflater, en de folgjende nuttige fergeliking binne de twa opnames en net noch in werienstallaasje.

Faze twa: PPP en de miniport-bining

720 leit tusken de keppeling en de brûker. De tunnel kaam omheech en doe koe de PPP-laach gjin adres of kontrôleprotokol ôfprate, wat faak in biningprobleem op 'e klant is en net in wegere oanmeldgegevens. Dat ûnderskie is de hiele wearde fan de koade: it seit dat de oanmeldgegevens nea berikt waarden, dus it akkount is net de fertochte.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

It lêzen fan dy twa útfier is mear ynformtyf as wat dan ek weromsette. In miniport dy't oanwêzich is mar net start, of in protokolbining dy't troch oare software útskeakele is, produsearret krekt de flater fan dizze faze. Beide binne te reparearjen sûnder de rest fan 'e stapel oan te reitsjen. In folsleine weromset, yn tsjinstelling, ferwideret adressearjen en filterstatus dy't neat mei de stoaring te krijen hiene.

Faze trije: identiteit en autorisaasje

691 betsjut dat de oanmeldgegevens wegere waarden. 649 betsjut dat it akkount gjin skilrjocht hat, en 812 betsjut dat in belied foar fiere tagong de ferbining wegere hat. Dat binne besluten, gjin transportstoaringen, en de klant kin se allinnich melde.

It bewiis is oan 'e oare kant. Freegje de gateway-operaasje om it besykjen op dat tiidstimpel en it belied dat oerienkaam; freegje de map-eigner oft it akkount skilrjocht hat en oft it yn 'e groep sit dy't it belied freget. It feroarjen fan it tunneltype of it werienstallearjen fan de klant kin in beslút oer in identiteit net feroarje.

In nuttige gewoante yn dizze faze is de krekte akkountstring yn it ticket te skriuwen, mei elke domeinprefix. In ferrassend oantal 691-gefallen binne bewarre oanmeldgegevens foar it ferkearde domein, en dat is te sjen yn 'e akkountstring en net yn 'e protokolynstellingen.

Faze fjouwer: ferbûn, en neat wurket

In ferbining kin foltôge wurde en dochs nutteleas wêze. It hâldt in adres, de klant meldt sukses, en elk fersyk fan 'e applikaasje rint op 'e tiid. Neat yn 'e dialooch wjerspegelet dat, en der is gjin koade om op te sykjen. Op dat punt is de dialooch dien en it nuttige bewiis is earne oars.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

As de rûte ûntbrekt, hat de tsjinner dy net skood of de klant hat dy falle litten. As de rûte bestiet en de namme mislearret, is de resolúsje it probleem. As beide wurkje en de applikaasje mislearret noch, binne jo foarby de tunnel en yn 'e eigen konfiguraasje fan 'e applikaasje.

Hâld de feroarings by ien laach per test. Eltse bewurking foar it folgjende besykjen wurdt part fan 'e kontekst fan 'e folgjende koade, en in koade dy't jo lêste bewurking beskriuwt is slimmer as hielendal gjin koade.

Ien besykjen, ien feroaring, ien registraasje

Hokker faze ek, de registraasje heart de koade, it berjocht, de profylnamme, it tiidstimpel en it netwurk dêr't jo op wiene te befetsjen. Fiif fjilden, en elk dêrfan is al foar jo yn 'e dialooch of it klantlog. Dat set is lyts genôch om yn in ticket te plakken en spesifyk genôch foar immen oars om it te reprodusearjen.

Set dan dat tiidstimpel njonken de registraasje oan 'e oare kant. De tabel boppe-oan dizze side seit hokker faze elke ûnienigens hat. Sûnder de twadde registraasje ferjonget de koade allinnich it sykjen; dermei is de faze beslist. De fergeliking is wat in nûmer yn in diagnoaze feroaret en net yn in gis.

Dy gewoante dekt hast elke native Windows-VPN-stoaring, en gjin fan 'e tûken freget it werienstallearjen fan wat dan ek. De dialooch fertelde jo altyd hokker jo hiene; it wurk is om te wegerjen se allegear as itselde probleem te behanneljen.