आने वाला टनल कौन-सा RRAS साइट इंटरफ़ेस चुनता है?
RRAS आने वाले साइट इंटरफ़ेस को पीयर पता, उपयोगकर्ता नाम या प्रमाणपत्र के विषय के आधार पर चुनता है, इसलिए उस कुंजी को उसके सक्षम और जुड़े राज्यों से अलग पढ़ें।
कई साइट-से-साइट इंटरफ़ेस वाले Windows सर्वर पर कंसोल का लेबल केवल लोगों के लिए नोट नहीं है। RRAS आने वाले कनेक्शन के एक विशिष्ट फ़ील्ड का उपयोग यह तय करने के लिए करता है कि कौन-सा लॉजिकल इंटरफ़ेस उत्तर देगा, और वह फ़ील्ड प्रमाणीकरण विधि के साथ बदलता है। कुंजी गलत हुई तो आप इंटरफ़ेस का नाम बदलते रहेंगे जब तक कुछ संयोग से जुड़ न जाए। चयन नियम, प्रशासनिक स्थिति और सत्र स्थिति तीन अलग तथ्य हैं, और इनमें से केवल एक नामकरण के बारे में है।
मिथक: नाम बदला हुआ इंटरफ़ेस हर चीज़ से मेल खाएगा
जब कोई शाखा जुड़ नहीं पाती तो लुभावना उपाय यह है कि साइट इंटरफ़ेस बनाया या उसका नाम बदला जाए जब तक वह कॉल करने वाले जैसा न दिखे। यह एक प्रमाणीकरण विधि के लिए काम करता है और बाकी के लिए चुपचाप विफल हो जाता है, इसलिए वही प्रक्रिया विरोधाभासी परिणामों के साथ आगे दी जाती है। साइट इंटरफ़ेस अपने गंतव्य, संरक्षित प्रीफ़िक्स और स्थिति वाला एक लॉजिकल कनेक्शन ऑब्जेक्ट है। यह एन्क्रिप्टेड पैकेट ले जाने वाला भौतिक एडाप्टर नहीं है, इसलिए नेटवर्क एडाप्टर देखने से पता नहीं चलता कि कौन-सा साइट ऑब्जेक्ट चुना गया।
चयन का सामान्य दूरस्थ-पहुँच उपयोगकर्ताओं से भी कोई संबंध नहीं है। अगर कर्मचारियों के VPN क्लाइंट डायल करते हैं, तो उनकी भूमिका अलग है, और उनके उपयोगकर्ता नाम इस मैपिंग में कभी भाग नहीं लेते। किसी परिचित नाम से कोई अर्थ निकालने से पहले पुष्टि करें कि कॉल करने वाला किस भूमिका का है।
तीन प्रमाणीकरण रूप, तीन चयन कुंजियाँ
पूर्व-साझा कुंजी के साथ, इंटरफ़ेस का कॉन्फ़िगर किया गया गंतव्य पता आने वाले पीयर के पते से मिलाया जाता है। लेबल कुछ भी हो सकता है, क्योंकि निर्णय पता ही ले जाता है। उपयोगकर्ता नाम आधारित प्रमाणीकरण में, इंटरफ़ेस का नाम कॉल करने वाले द्वारा प्रस्तुत उपयोगकर्ता नाम से मिलाया जाता है। यहाँ लेबल ही कुंजी है, और ठीक इसी कारण नाम बदलना एक साइट को ठीक करता और दूसरी को तोड़ता दिखता है।
प्रमाणपत्रों के साथ, इंटरफ़ेस का नाम प्रस्तुत प्रमाणपत्र में विषय नाम से मिलाया जाता है। नाम को उस विषय से मेल खाना चाहिए, और ऑपरेटर द्वारा गढ़ा गया सुंदर लेबल काम नहीं करेगा।
दो परिणाम सामने आते हैं। पूर्व-साझा कुंजी व्यवस्था में किसी दिए गए गंतव्य के लिए केवल एक इंटरफ़ेस सक्षम किया जा सकता है, इसलिए एक ही देखे गए सार्वजनिक पते को साझा करने वाली दो शाखाएँ दोहरी प्रविष्टियों से दोनों की सेवा नहीं पा सकतीं। और कंसोल कुछ भी सुझाए, वही विधि लागू होती है जो आपने वास्तव में कॉन्फ़िगर की है।
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
सक्षम होना जुड़ा होना नहीं है
प्रशासनिक स्थिति बताती है कि लॉजिकल इंटरफ़ेस को काम करने की अनुमति है या नहीं। कनेक्शन स्थिति बताती है कि अभी कोई सत्र है या नहीं। सत्र के बिना सक्षम इंटरफ़ेस माँग पर डायल होने वाले लिंक के लिए सामान्य विश्राम स्थिति है, और इसे खराबी बताना लोगों को ऐसी रुकावट के पीछे भेजता है जो है ही नहीं।
नामित लुकअप या दस्तावेज़ित रूटिंग-डोमेन लुकअप का उपयोग करें, लेकिन दोनों पैरामीटर एक साथ नहीं, और इसे इच्छित सर्वर संदर्भ में चलाएँ। यदि अपेक्षित इंटरफ़ेस पहली सूची में नहीं है, तो समस्या स्थिति से पहले है: कुछ भी चुना ही नहीं गया।
इस युग्म को अलग-अलग नहीं, साथ पढ़ें। जो लिंक स्थापित रहना चाहिए और डिस्कनेक्ट दिखाता है वह जाँच के योग्य है, जबकि माँग पर जुड़ने वाला निष्क्रिय लिंक डिज़ाइन के अनुसार व्यवहार करता है। इस बीच प्रशासनिक रूप से अक्षम इंटरफ़ेस सामने वाला पक्ष अपना राउटर कितनी भी बार रीबूट करे, अंधेरा ही रहेगा।
दोनों में से कोई भी मान यह सिद्ध नहीं करता कि प्रमाणीकरण सफल हुआ, बातचीत की गई सुरक्षा मेल खाती है, रूट स्थापित हुए या निजी एप्लिकेशन की अनुमति है। ये चार अलग प्रश्न हैं और चार अलग उत्तर हैं।
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateकुछ भी सक्षम करने से पहले पहचान का लेनदेन पढ़ें
जब आने वाला कॉल करने वाला किसी ऐसे इंटरफ़ेस पर मैप होता है जिसकी आपको अपेक्षा नहीं थी, तो उपयोगी साक्ष्य उसकी प्रस्तुत पहचान है, अक्षम इंटरफ़ेस की सूची नहीं। हाल के दूरस्थ पहुँच इवेंट निकालें और कॉल करने वाले का पता, प्रमाणीकरण का परिणाम और चुने गए इंटरफ़ेस का नाम पढ़ें। अक्षम इंटरफ़ेस जानबूझकर सेवानिवृत्त किया गया साइट या प्रतिबंधित साझेदार हो सकता है। एक लॉगिन त्रुटि हटती है या नहीं यह देखने के लिए उसे सक्षम करना रूटिंग और पहुँच परिणामों वाला कॉन्फ़िगरेशन परिवर्तन है, इसलिए निर्णय उस साइट संबंध के स्वामी से गुज़ारें, उसके गंतव्य, संरक्षित प्रीफ़िक्स और नीति के साथ।
अगर मैपिंग वाकई ग़लत है, तो लक्षण नहीं, कुंजी सुधारें: प्रमाणपत्र का विषय या उपयोगकर्ता नाम के मामले में इंटरफ़ेस का नाम सुधारें, और पूर्व-साझा कुंजी के मामले में गंतव्य सुधारें। फिर एक बार दोबारा कनेक्ट करें और पुष्टि करें कि वही कॉल करने वाला अब इच्छित ऑब्जेक्ट चुन रहा है।
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }अनुमत कार्रवाई से चक्र बंद करें
हरा राज्य स्वीकृति नहीं है। सही इंटरफ़ेस चुने जाने के बाद, वह ट्रैफ़िक बनाएँ जिसकी डिज़ाइन अनुमति देता है, एक संरक्षित प्रीफ़िक्स के होस्ट से दूसरे के होस्ट तक, और पुष्टि करें कि उत्तर उसी मार्ग से लौटता है। वही प्रयास उस होस्ट से करें जिसे अस्वीकार होना चाहिए, इसका उपयोग करते हुए Test-NetConnection -ComputerName 10.44.2.10 -Port 445 ऐसी सेवा के विरुद्ध जिसे डिज़ाइन बाहर रखता है, और दूरस्थ पहुँच इवेंट फिर पढ़ें। जो साइट लिंक अपने इच्छित प्रीफ़िक्स से अधिक ले जाता है, या ऐसी सेवा का उत्तर देता है जिसे नीति बाहर रखती है, वह रूटिंग गलती है जिसे कोई स्थिति-जाँच उजागर नहीं करेगी।
प्रमाणीकरण विधि, चयन कुंजी और अनुमत प्रीफ़िक्स एक साथ साइट की संचालन पुस्तिका में दर्ज करें। अगला इंजीनियर वही तीन-मान वाली तालिका देखेगा, और नामकरण परंपरा का अर्थ तभी बनता है जब वह संदर्भ लिखा हो।