Melyik RRAS-webhely interfészt választja a bejövő alagút?
Az RRAS a bejövő webhely-interfészt a partner cím, a felhasználónév vagy a tanúsítvány tárgya alapján választja, ezért ezt a kulcsot az engedélyezett és csatlakoztatott állapotoktól külön olvassa.
Egy Windows-kiszolgálón több webhely-webhely interfésszel a konzolcímke nem csupán embereknek szóló megjegyzés. Az RRAS a bejövő kapcsolat egy meghatározott mezőjét használja annak eldöntésére, melyik logikai interfész válaszol, és ez a mező a hitelesítési módszerrel változik. Ha eltéveszti a kulcsot, addig nevezi át az interfészeket, amíg valami véletlenül nem csatlakozik. A kiválasztási szabály, az adminisztratív állapot és a munkamenet-állapot három külön tény, és csak az egyikük szól az elnevezésről.
A mítosz: az átnevezett interfész bármihez illeszkedik
A csábító javítás, amikor egy fióktelep nem tud csatlakozni, hogy webhely-interfészt hoz létre vagy nevez át, amíg az a hívóhoz nem hasonlít. Ez egy hitelesítési módszernél működik, a többinél csendben meghiúsul, ezért ugyanazt az eljárást egymásnak ellentmondó eredményekkel adják tovább. A webhely-interfész olyan logikai kapcsolatobjektum, amelynek saját célja, védett előtagjai és állapota van. Nem az a fizikai adapter, amely a titkosított csomagokat szállítja, ezért a hálózati adapterek nézegetése semmit nem mond arról, melyik webhelyobjektumot választották ki.
A választásnak a szokásos távoli hozzáférésű felhasználókhoz semmi köze. Ha az alkalmazottak VPN-kliensei tárcsáznak, más a szerepük, és felhasználóneveik soha nem vesznek részt ebben a leképezésben. Erősítse meg, melyik szerepkörhöz tartozik a hívó, mielőtt bármit belegondolna egy ismerős névbe.
Három hitelesítési forma, három kiválasztási kulcs
Előre megosztott kulcs esetén az interfész beállított célcíme a bejövő partner címével vetődik össze. A címke bármi lehet, mert a döntést a cím hordozza. Felhasználónév-alapú hitelesítésnél az interfész neve a hívó által bemutatott felhasználónévvel vetődik össze. Itt a címke a kulcs, és pontosan ezért tűnhet úgy, hogy az átnevezés az egyik webhelyet megjavítja, a másikat pedig elrontja.
Tanúsítványok esetén az interfész neve a bemutatott tanúsítvány tárgynévével vetődik össze. A névnek meg kell felelnie ennek a tárgynak, és az üzemeltető által kitalált szép címke nem lesz elég.
Két következmény adódik. Az előre megosztott kulcsos elrendezésben egy adott célhoz csak egy interfész engedélyezhető, így két fióktelep, amely egy megfigyelt nyilvános címet oszt meg, nem szolgálható ki mindkettő duplikált bejegyzésekkel. És az a módszer érvényes, amelyiket ténylegesen beállított, függetlenül attól, mit sugall a konzol.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Az engedélyezett nem csatlakoztatott
Az adminisztratív állapot azt mondja meg, hogy a logikai interfész működhet-e. A kapcsolat állapota azt, hogy van-e éppen munkamenet. Az engedélyezett interfész munkamenet nélkül egy igény szerinti tárcsázós kapcsolat normál nyugalmi állapota, és hibaként jelenteni olyan kiesés után küldi az embereket, amely nem létezik.
Használjon névvel megadott keresést vagy a dokumentált útválasztási tartomány szerinti keresést, de ne mindkét paramétert egyszerre, és a szándékolt kiszolgáló-környezetben futtassa. Ha a várt interfész hiányzik az első listából, a probléma az állapot előtt van: egyáltalán semmi nem lett kiválasztva.
A párt együtt olvassa, ne külön. Az a kapcsolat, amelynek fenn kell maradnia, és szakadtként jelenik meg, vizsgálatot érdemel, míg az igény szerint csatlakozó tétlen kapcsolat úgy viselkedik, ahogy tervezték. Eközben az adminisztratívan letiltott interfész sötét marad, akárhányszor indítja újra a túloldal az útválasztóját.
Egyik érték sem bizonyítja, hogy a hitelesítés sikerült, hogy az egyeztetett védelem megegyezik, hogy telepítve lettek az útvonalak, vagy hogy a magánalkalmazás engedélyezett. Ez négy különböző kérdés négy különböző válasszal.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateOlvassa el az identitástranzakciót, mielőtt bármit engedélyezne
Amikor egy bejövő hívó olyan interfészre képeződik le, amelyre nem számított, a hasznos bizonyíték az általa bemutatott identitás, nem a letiltott interfészek listája. Kérje le a legutóbbi távoli hozzáférési eseményeket, és olvassa el a hívó címét, a hitelesítés eredményét és a kiválasztott interfész nevét. Egy letiltott interfész lehet szándékosan kivont webhely vagy tiltott partner. Engedélyezni, hogy lássa, eltűnik-e egy bejelentkezési hiba, olyan konfigurációváltozás, amelynek útválasztási és hozzáférési következményei vannak, ezért a döntést a webhelykapcsolat tulajdonosán vigye keresztül, a céljával, védett előtagjaival és szabályzatával együtt.
Ha a leképezés valóban hibás, a kulcsot javítsa, ne a tünetet: javítsa a tanúsítvány tárgyát, vagy felhasználónév esetén az interfész nevét, előre megosztott kulcs esetén pedig a célt. Ezután egyszer csatlakozzon újra, és erősítse meg, hogy ugyanaz a hívó most a szándékolt objektumot választja.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Zárja le a hurkot engedélyezett művelettel
A zöld állapot nem elfogadás. Amint a megfelelő interfész kiválasztódott, állítson elő olyan forgalmat, amelyet a tervezés engedélyez, az egyik védett előtag hosztjától a másik hosztjáig, és erősítse meg, hogy a válasz ugyanazon az úton tér vissza. Futtassa ugyanezt a kísérletet olyan hosztról, amelyet el kell utasítani, a következőt használva: Test-NetConnection -ComputerName 10.44.2.10 -Port 445 egy olyan szolgáltatás ellen, amelyet a tervezés kizár, és olvassa el újra a távoli hozzáférési eseményeket. Az a webhelykapcsolat, amely többet szállít a szándékolt előtagjainál, vagy olyan szolgáltatásra válaszol, amelyet a szabályzat kizár, olyan útválasztási hiba, amelyet semmilyen állapotellenőrzés nem tár fel.
Jegyezze fel a hitelesítési módszert, a kiválasztási kulcsot és az engedélyezett előtagokat együtt a webhely üzemeltetési kézikönyvébe. A következő mérnök ugyanazzal a háromértékű táblázattal találkozik, és az elnevezési konvenció csak akkor van értelme, ha ezt a kontextust leírták.