Koji RRAS sajt interfejs bira dolazni tunel?
RRAS bira dolazni sajt interfejs prema adresi partnera, korisničkom imenu ili subjektu certifikata, pa taj ključ čitajte odvojeno od stanja uključenosti i povezanosti.
Na Windows serveru s nekoliko međusajtovskih interfejsa oznaka u konzoli nije samo napomena za ljude. RRAS koristi određeno polje iz dolazne veze da odluči koji logički interfejs odgovara, a to polje se mijenja s metodom provjere identiteta. Pogriješite li ključ, preimenovat ćete interfejse dok se nešto slučajno ne poveže. Pravilo odabira, administrativno stanje i stanje sesije tri su odvojene činjenice i samo jedna od njih tiče se imenovanja.
Mit: preimenovani interfejs odgovara bilo čemu
Primamljiv popravak kad se neka podružnica ne može povezati jest stvoriti ili preimenovati sajt interfejs dok ne nalikuje pozivatelju. To radi za jednu metodu provjere identiteta, a tiho zakaže za ostale, pa se isti postupak prenosi s proturječnim rezultatima. Sajt interfejs je logički objekt veze s vlastitim odredištem, zaštićenim prefiksima i stanjem. Nije fizički adapter koji nosi šifrirane pakete, pa gledanje u mrežne adaptere ne kaže ništa o tome koji je sajt objekt odabran.
Odabir također nema veze s običnim korisnicima udaljenog pristupa. Ako se prijavljuju VPN klijenti zaposlenika, oni su druga uloga i njihova korisnička imena nikad ne sudjeluju u ovom mapiranju. Provjerite kojoj ulozi pozivatelj pripada prije nego išta zaključite iz poznatog imena.
Tri oblika provjere identiteta, tri ključa odabira
S prethodno dijeljenim ključem konfigurirano odredište interfejsa uspoređuje se s adresom dolaznog partnera. Oznaka može biti bilo što jer odluku nosi adresa. U provjeri identiteta po korisničkom imenu naziv interfejsa uspoređuje se s korisničkim imenom koje predstavlja pozivatelj. Ovdje je oznaka ključ i upravo zato preimenovanje može izgledati kao da popravlja jedan sajt, a kvari drugi.
S certifikatima se naziv interfejsa uspoređuje s nazivom subjekta u predočenom certifikatu. Naziv mora odgovarati tom subjektu i lijepa oznaka koju izmisli operater neće poslužiti.
Slijede dvije posljedice. U sustavu s prethodno dijeljenim ključem za određeno odredište može biti uključen samo jedan interfejs, pa dvije podružnice koje dijele jednu promatranu javnu adresu ne mogu obje biti opslužene dvostrukim unosima. I upravlja onaj metod koji ste doista konfigurirali, bez obzira na to što konzola sugerira.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Uključeno nije povezano
Administrativni status kaže smije li logički interfejs raditi. Stanje veze kaže postoji li sesija upravo sada. Uključen interfejs bez sesije normalno je stanje mirovanja za vezu koja se uspostavlja na zahtjev i prijavljivanje toga kao greške šalje ljude u potjeru za prekidom kojeg nema.
Upotrijebite pretragu po nazivu ili dokumentiranu pretragu po domeni usmjeravanja, ali ne oba parametra zajedno, i pokrenite je u predviđenom kontekstu servera. Ako interfejs koji očekujete nema u prvom popisu, problem je prije stanja: ništa nije odabrano.
Čitajte par zajedno, a ne odvojeno. Veza koja treba ostati uspostavljena i pokazuje prekid zaslužuje istragu, dok prazna veza na zahtjev koja se spaja kad treba radi kako je projektirana. U međuvremenu će administrativno isključen interfejs ostati mračan koliko god puta druga strana restartala svoj usmjerivač.
Nijedna od dviju vrijednosti ne dokazuje da je provjera identiteta uspjela, da se dogovorena zaštita podudara, da su rute instalirane ili da je privatna aplikacija dopuštena. To su četiri različita pitanja s četiri različita odgovora.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStatePročitajte transakciju identiteta prije nego išta uključite
Kad se dolazni pozivatelj mapira na interfejs koji niste očekivali, koristan dokaz je identitet koji je predočio, a ne popis isključenih interfejsa. Izvucite nedavne događaje udaljenog pristupa i pročitajte adresu pozivatelja, ishod provjere identiteta i naziv odabranog interfejsa. Isključen interfejs može biti namjerno umirovljen sajt ili zabranjen partner. Uključiti ga da vidite hoće li jedna pogreška prijave nestati promjena je konfiguracije s posljedicama po usmjeravanje i pristup, pa odluku provedite kroz vlasnika tog sajt odnosa, zajedno s njegovim odredištem, zaštićenim prefiksima i politikom.
Ako je mapiranje doista pogrešno, ispravite ključ, a ne simptom: ispravite subjekt certifikata ili naziv interfejsa u slučaju korisničkog imena i odredište u slučaju prethodno dijeljenog ključa. Zatim se jednom ponovno povežite i potvrdite da isti pozivatelj sada odabire željeni objekt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Zatvorite petlju dopuštenom operacijom
Zeleno stanje nije prihvaćanje. Kad je pravi interfejs odabran, generirajte promet koji projekt dopušta, s hosta u jednom zaštićenom prefiksu na host u drugom, i potvrdite da se odgovor vraća istim putem. Ponovite isti pokušaj s hosta koji treba biti odbijen, koristeći Test-NetConnection -ComputerName 10.44.2.10 -Port 445 protiv usluge koju projekt isključuje, i ponovno pročitajte događaje udaljenog pristupa. Sajt veza koja nosi više od svojih predviđenih prefiksa ili odgovara na uslugu koju politika isključuje pogreška je u usmjeravanju koju nijedna provjera stanja neće otkriti.
Zapišite metodu provjere identiteta, ključ odabira i dopuštene prefikse zajedno u priručnik za rad sajta. Sljedeći će inženjer susresti istu tablicu s tri vrijednosti i konvencija imenovanja ima smisla tek kad je taj kontekst zapisan.