Port u polju adrese Windows VPN-a radi samo sa SSTP-om

VPN poslužitelj odgovara na TCP 10443, ugrađeni Windows klijent ima ispravne vjerodajnice, a veza ipak pada nakon stanke koja nalikuje DNS isteku vremena. Uzrok je obično polje adrese: upisivanje vpn.example.com:10443 u Naziv poslužitelja ili adresa navodi Windows da cijeli niz pročita kao naziv hosta, jer to polje nije opći host:port unos. Može li se port ondje uopće izraziti ovisi o vrsti tunela koju profil koristi, a samo jedna od četiri vrste tretira vrijednost kao nešto što može parsirati.

Zašto polje adrese nije polje host:port

Svojstvo profila iza tog polja je ServerAddress i svaka vrsta tunela odlučuje što će s nizom. Tri od njih nemaju parametar porta koji bi popunili, pa su dvotočka i broj samo znakovi u nazivu koji se nikada neće razriješiti. Četvrta ide preko HTTPS-a, gdje je port dio URL-a, pa vrijednost mora biti napisana u obliku koji se parsira kao URL.

Zato kvar izgleda kao razrješavanje naziva, a ne kao odbijena veza. Nema lošeg porta za prijavu, samo naziv hosta koji ne postoji, a pogreška stiže nakon što resolver odustane. Prije nego dirnete poslužitelj, provjerite koju vrstu tunela profil tvrdi da koristi.

Tri vrste s fiksnim portom

PPTP se povezuje na TCP 1723, a zatim nosi tunel u GRE-u, IP protokolu 47. L2TP/IPsec koristi UDP 1701 za tunel i UDP 500 plus 4500 za IPsec, pri čemu je 4500 NAT-traversal port. IKEv2 također koristi UDP 500 i 4500. Nijedan od tih profila nigdje u sučelju ne izlaže polje porta i nijedan neće pregovarati nestandardni port.

Poslužitelj koji sluša na prilagođenom portu stoga je nedostupan tim profilima bez obzira na to kako je adresa napisana. Praktični odgovori su uski: objavite standardni port na poslužitelju ili prevedite standardni port u prilagođeni na usmjerivaču ispred njega. Oba čuvaju klijentski profil netaknutim, što mnogo vrijedi kada se profil raspoređuje pravilnikom, a ne upisuje ručno.

SSTP-u treba URL, a ne naziv

SSTP je iznimka jer radi unutar TLS sesije. Polje se mora parsirati kao URL: prvo shema https://, zatim host, pa dvotočka i port. Bez sheme Windows nastavlja tretirati vrijednost kao običan naziv i veza pada prije bilo kakve TLS razmjene.

Razlog zašto to iznenađuje jest to što standardni port prihvaća goli naziv hosta. Profil koji nikada nije trebao prilagođeni port nikada ne nauči pravilo, a prva osoba koja ga doda otkrije ga tako što ne uspije. Nakon spremanja pročitajte spremljenu vrijednost umjesto da vjerujete dijalogu:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress pokazuje točno ono što je spremljeno. Ako se čita kao goli naziv hosta s dvotočkom u sebi, profil nikada nije dobio URL i nikakvo ponavljanje to neće popraviti.

Sintaksa dobavljača koja se lijepi u isto polje

Neki pristupnici dokumentiraju dodatne konvencije za to polje, poput realma dodanog nakon porta ili parametara upita koji mijenjaju rukovanje certifikatom. Razumije ih poslužitelj tog dobavljača i, u nekim gradnjama, njegov vlastiti klijent. Nisu dio Windows formata profila, a lijepljenje u ugrađeni profil obično proizvodi isti tihi kvar naziva.

Parametar koji onemogućuje provjeru certifikata tretirajte kao upozorenje, a ne kao popravak. Ako se profil povezuje samo s tim parametrom, certifikat se ne podudara s nazivom koji se koristi, a ispravan popravak je na pristupniku, ne u klijentu. Realm nakon porta ima isto svojstvo: djeluje samo ako ga poslužitelj s druge strane očekuje.

Dokažite port, pa pročitajte fazu koja pada

Potvrdite da nešto prihvaća TCP na tom portu iz klijentove mreže prije nego okrivite profil:

Test-NetConnection vpn.example.com -Port 10443

Uspjeh dokazuje slušatelja, ne SSTP. Web poslužitelj, obrnuti proxy ili balanser opterećenja mogu dovršiti TCP rukovanje i još uvijek ne govoriti SSTP, pa je zeleni test s crvenim VPN-om stvarna kombinacija. Usporedite subjekt certifikata s nazivom u profilu i provjerite RasClient dnevnik u gradnjama koje ga isporučuju, jer bilježi fazu koja je pala umjesto generičkog isteka vremena.

Zatim razmotrite opciju koja uklanja problem umjesto da ga dokumentira: proslijedite TCP 443 izvana na 10443 na VPN poslužitelju. Klijent tada koristi standardni profil bez ikakvog porta, što je obično najčišći raspored za upravljenu flotu i ostavlja prilagođeni port kao interni detalj.