Que interface de sitio RRAS escolle un túnel entrante?
RRAS escolle unha interface de sitio entrante polo enderezo do par, o nome de usuario ou o suxeito do certificado, así que lea esa chave por separado dos seus estados habilitado e conectado.
Nun servidor Windows con varias interfaces de sitio a sitio, unha etiqueta de consola non é só unha nota para persoas. RRAS usa un campo concreto da conexión entrante para decidir que interface lóxica responde, e ese campo cambia co método de autenticación. Se se equivoca coa chave, renomeará interfaces ata que algo se conecte por sorte. A regra de selección, o estado administrativo e o estado de sesión son tres feitos separados, e só un deles trata de nomes.
O mito: unha interface renomeada encaixará con calquera cousa
A corrección tentadora cando unha sucursal non conecta é crear ou renomear unha interface de sitio ata que se pareza ao chamante. Iso funciona para un método de autenticación e falla en silencio para os demais, e por iso o mesmo procedemento circula con resultados contradictorios. Unha interface de sitio é un obxecto de conexión lóxico co seu propio destino, prefixos protexidos e estado. Non é o adaptador físico que transporta os paquetes cifrados, así que mirar os adaptadores de rede non di nada sobre que obxecto de sitio se seleccionou.
A selección tampouco ten nada que ver cos usuarios normais de acceso remoto. Se marcan clientes VPN de empregados, teñen outro rol, e os seus nomes de usuario nunca participan nesta asignación. Confirme a que rol pertence o chamante antes de ler algo nun nome familiar.
Tres formas de autenticación, tres chaves de selección
Cunha chave precompartida, o enderezo de destino configurado da interface compárase co enderezo do par entrante. A etiqueta pode ser calquera cousa, porque o enderezo leva a decisión. Con autenticación baseada en nome de usuario, o nome da interface compárase co nome de usuario que presenta o chamante. Aquí a etiqueta é a chave, e é exactamente por iso que un renomeado pode parecer que arranxa un sitio e rompe outro.
Con certificados, o nome da interface compárase co nome de suxeito do certificado presentado. O nome debe corresponder a ese suxeito, e unha etiqueta bonita inventada por un operador non servirá.
Séguese dúas consecuencias. No esquema de chave precompartida só se pode habilitar unha interface para un destino dado, así que dúas sucursais que comparten un mesmo enderezo público observado non poden ser atendidas ambas con entradas duplicadas. E manda o método que realmente configurou, diga o que diga a consola.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Habilitado non é conectado
O estado administrativo di se a interface lóxica pode funcionar. O estado de conexión di se existe unha sesión agora mesmo. Unha interface habilitada sen sesión é un estado de repouso normal para unha ligazón que marca baixo demanda, e informalo como fallo manda a xente perseguir unha caída que non existe.
Use unha busca por nome ou a busca documentada de dominio de encamiñamento, pero non ambos os parámetros xuntos, e execútea no contexto de servidor previsto. Se a interface que espera falta no primeiro listado, o problema está antes do estado: non se seleccionou nada de nada.
Lea o par en conxunto e non por separado. Unha ligazón que debe permanecer establecida e se mostra desconectada merece investigación, mentres que unha ligazón inactiva que se conecta baixo demanda compórtase como se deseñou. Mentres tanto, unha interface deshabilitada administrativamente seguirá escura por moitas veces que o lado remoto reinicie o seu encamiñador.
Ningún dos dous valores demostra que a autenticación tivo éxito, que a protección negociada coincide, que se instalaron rutas ou que a aplicación privada está permitida. Son catro preguntas distintas con catro respostas distintas.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLea a transacción de identidade antes de habilitar nada
Cando un chamante entrante se asigna a unha interface que non esperaba, a evidencia útil é a identidade que presentou, non a lista de interfaces deshabilitadas. Extraia os eventos recentes de acceso remoto e lea o enderezo do chamante, o resultado da autenticación e o nome da interface seleccionada. Unha interface deshabilitada pode ser un sitio retirado a propósito ou un socio prohibido. Habilitala para ver se un erro de inicio de sesión desaparece é un cambio de configuración con consecuencias de encamiñamento e acceso, así que pase a decisión polo propietario desa relación de sitio, xunto co seu destino, prefixos protexidos e política.
Se a asignación é realmente errónea, corrixa a chave e non o síntoma: arranxe o suxeito do certificado ou o nome da interface no caso do nome de usuario, e o destino no caso da chave precompartida. Logo reconecte unha vez e confirme que o mesmo chamante agora selecciona o obxecto previsto.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Pecha o bucle cunha operación permitida
Un estado verde non é aceptación. Unha vez seleccionada a interface correcta, xere tráfico que o deseño permita, dun equipo dun prefixo protexido a un equipo do outro, e confirme que a resposta volve pola mesma ruta. Execute o mesmo intento desde un equipo que debería ser rexeitado, usando Test-NetConnection -ComputerName 10.44.2.10 -Port 445 contra un servizo que o deseño exclúe, e volva ler os eventos de acceso remoto. Unha ligazón de sitio que transporta máis aló dos seus prefixos previstos, ou que responde por un servizo que a política exclúe, é un erro de encamiñamento que ningunha comprobación de estado revelará.
Rexistre o método de autenticación, a chave de selección e os prefixos permitidos xuntos no manual de operacións do sitio. O seguinte enxeñeiro atopará a mesma táboa de tres valores, e a convención de nomes só ten sentido cando ese contexto está escrito.