איזה ממשק אתר של RRAS בוחר מנהר נכנס?
RRAS בוחר ממשק אתר נכנס לפי כתובת העמית, שם המשתמש או נושא התעודה, לכן קראו את המפתח הזה בנפרד ממצבי ההפעלה והחיבור.
בשרת Windows עם כמה ממשקי אתר-לאתר, תווית בקונסולה אינה רק הערה לבני אדם. RRAS משתמש בשדה מסוים מהחיבור הנכנס כדי להחליט איזה ממשק לוגי עונה, והשדה הזה משתנה עם שיטת האימות. אם תטעו במפתח, תשנו שמות ממשקים עד שמשהו יתחבר במקרה. כלל הבחירה, המצב הניהולי ומצב ההפעלה הם שלוש עובדות נפרדות, ורק אחת מהן עוסקת בשמות.
המיתוס: ממשק ששונה שמו יתאים לכל דבר
התיקון המפתה כשסניף אינו מצליח להתחבר הוא ליצור או לשנות שם של ממשק אתר עד שהוא ייראה כמו הקורא. זה עובד לשיטת אימות אחת ונכשל בשקט באחרות, ולכן אותו נוהל מועבר הלאה עם תוצאות סותרות. ממשק אתר הוא אובייקט חיבור לוגי עם יעד משלו, קידומות מוגנות ומצב. הוא אינו המתאם הפיזי שנושא את החבילות המוצפנות, ולכן התבוננות במתאמי רשת אינה אומרת לכם דבר על איזה אובייקט אתר נבחר.
לבחירה אין קשר גם למשתמשי גישה מרחוק רגילים. אם לקוחות VPN של עובדים מחייגים, יש להם תפקיד אחר, ושמות המשתמש שלהם אינם משתתפים במיפוי הזה לעולם. ודאו לאיזה תפקיד שייך הקורא לפני שאתם קוראים משהו לתוך שם מוכר.
שלוש צורות אימות, שלושה מפתחות בחירה
עם מפתח משותף מראש, כתובת היעד המוגדרת של הממשק מושווית לכתובת העמית הנכנס. התווית יכולה להיות כל דבר, כי הכתובת נושאת את ההחלטה. באימות מבוסס שם משתמש, שם הממשק מושווה לשם המשתמש שהקורא מציג. כאן התווית היא המפתח, וזו בדיוק הסיבה ששינוי שם יכול להיראות כמתקן אתר אחד ושובר אחר.
עם תעודות, שם הממשק מושווה לשם הנושא בתעודה המוצגת. השם חייב להתאים לנושא הזה, ותווית יפה שהמציא מפעיל לא תספיק.
שתי השלכות נובעות מכך. בהסדר המפתח המשותף מראש ניתן להפעיל ממשק אחד בלבד ליעד נתון, ולכן שני סניפים החולקים כתובת ציבורית נצפית אחת אינם יכולים להיות משורתים שניהם באמצעות רשומות כפולות. והשיטה שהגדרתם בפועל היא הקובעת, יהיה אשר יאמר הקונסולה.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
מופעל אינו מחובר
המצב הניהולי אומר אם הממשק הלוגי רשאי לפעול. מצב החיבור אומר אם קיים כעת הפעלה. ממשק מופעל בלי הפעלה הוא מצב מנוחה רגיל לקישור חיוג לפי דרישה, ודיווח עליו כתקלה שולח אנשים לרדוף אחרי תקלה שאינה קיימת.
השתמשו בחיפוש בשם או בחיפוש המתועד לפי תחום הניתוב, אך לא בשני הפרמטרים יחד, והריצו אותו בהקשר השרת המיועד. אם הממשק שאתם מצפים לו אינו ברשימה הראשונה, הבעיה היא לפני המצב: דבר לא נבחר כלל.
קראו את הצמד יחד ולא בבידוד. קישור שאמור להישאר מוקם ומראה ניתוק ראוי לבדיקה, בעוד קישור סרק שמתחבר לפי דרישה מתנהג כמתוכנן. בינתיים ממשק שהושבת ניהולית יישאר חשוך, ככל שהצד המרוחק יאתחל את הנתב שלו.
אף אחד מהערכים אינו מוכיח שהאימות הצליח, שההגנה המנוהלת תואמת, שהותקנו מסלולים או שהיישום הפרטי מותר. אלה ארבע שאלות שונות עם ארבע תשובות שונות.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateקראו את תנועת הזהות לפני שמפעילים משהו
כשקורא נכנס ממופה לממשק שלא ציפיתם לו, הראיה המועילה היא הזהות שהוא הציג, לא רשימת הממשקים המושבתים. שליפו את אירועי הגישה מרחוק האחרונים וקראו את כתובת הקורא, את תוצאת האימות ואת שם הממשק שנבחר. ממשק מושבת יכול להיות אתר שהוצא מכלל שימוש בכוונה או שותף אסור. הפעלתו כדי לראות אם שגיאת התחברות אחת נעלמת היא שינוי תצורה עם השלכות ניתוב וגישה, לכן העבירו את ההחלטה דרך הבעלים של יחסי האתר האלה, יחד עם היעד, הקידומות המוגנות והמדיניות.
אם המיפוי באמת שגוי, תקנו את המפתח ולא את התסמין: תקנו את נושא התעודה, או במקרה של שם משתמש את שם הממשק, ובמקרה של מפתח משותף מראש את היעד. אחר כך התחברו מחדש פעם אחת ואשרו שאותו קורא בוחר כעת באובייקט המיועד.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }סגרו את הלולאה בפעולה מותרת
מצב ירוק אינו אישור. לאחר שנבחר הממשק הנכון, צרו תעבורה שהתכנון מתיר, ממארח בקידומת מוגנת אחת למארח בשנייה, ואשרו שהתשובה חוזרת באותו נתיב. הריצו את אותו ניסוי ממארח שאמור להידחות, באמצעות Test-NetConnection -ComputerName 10.44.2.10 -Port 445 כנגד שירות שהתכנון שולל, וקראו שוב את אירועי הגישה מרחוק. קישור אתר שנושא יותר מהקידומות המיועדות לו, או שעונה לשירות שהמדיניות שוללת, הוא טעות ניתוב ששום בדיקת מצב לא תגלה.
רשמו את שיטת האימות, את מפתח הבחירה ואת הקידומות המותרות יחד במדריך התפעול של האתר. המהנדס הבא יפגוש את אותה טבלה בת שלושה ערכים, ומוסכמת השמות מקבלת משמעות רק לאחר שההקשר הזה כתוב.