A Windows beépített VPN-je nem ér el egy szállítói SSL-átjárót: miért

A Windows négy alagúttípussal érkezik, és egy szállítói SSL-átjáró nem tartozik közéjük. Mégis irányítson egy beépített profilt egy ilyenre, és a kapcsolat még a hitelesítő adatok kérése előtt meghiúsul, általában azzal az üzenettel, hogy a kapcsolatot a helyi rendszer megszakította. Ez a szöveg eltérésre utaló jel, nem diagnózis. A profil típusának és a protokollt birtokló ügyfélnek egyeznie kell, és az egyik hiányzik.

Négy típus és egy párbeszédablak

Minden mentett profil alagúttípust hordoz. A beépített ügyfél elfogadja a PPTP-t, az L2TP-t, az IKEv2-t és az SSTP-t, valamint egy automatikus módot, amely sorban kipróbálja őket. Nincs általános SSL VPN-bejegyzés, és a párbeszédablakon keresztül nem lehet ilyet hozzáadni. A szállítói átjáró a saját alkalmazásprotokollját beszéli TLS felett, amelyet csak az adott szállító ügyfele valósít meg.

A lista egyetlen parancsra van, és érdemes minden más hibakeresés előtt lefuttatni, mert egy másodpercig tart, és a téves feltevések egész osztályát szünteti meg:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ha a profil SSTP-t mond, és az átjáró nem RRAS-kiszolgáló, az eltérés már bizonyított. Semmilyen tanúsítvány- vagy tűzfalmunka nem változtat rajta.

Az SSTP és a szállítói TLS egyformán néz ki a 443-as porton

Az SSTP PPP-munkamenetet csomagol TLS-be, és TCP 443-on halad. A Microsoft vermében az RRAS zárja le, amely olyan kiszolgálótanúsítványt mutat, amelyet az ügyfél ellenőriz. A Fortinet, Citrix vagy Pulse készülék is lezárja a TLS-t a 443-on, és a portálja minden böngészőben panasz nélkül megnyílik.

Ez a böngészőteszt elérhetőséget bizonyít, nem kompatibilitást. A portál mögötti munkamenet-protokoll a szállítóé, és a beépített ügyfélnek nincs rá megvalósítása. Hogy a szállító ad-e saját ügyfelet, megmondja, az eltérés melyik felével van dolga.

A fordított összetévesztés is előfordul. Egy SSTP-ként beállított profil valódi RRAS-kiszolgáló ellen elbukhat a tanúsítvány ellenőrzésén, miközben a portál rendben van, és ez tanúsítványprobléma, nem protokollprobléma.

Hibák, amelyek azelőtt jelennek meg, hogy alagút létezne

A 800-as sorozat kódjait bármilyen alagút létrehozása előtt jelentik, ezért a tűzfalszabályok ritkán mozdítják el őket. A 812-es hiba kiszolgálóoldali szabályzat, amely elutasítja az ügyfél által felajánlott hitelesítési módot. A tartomány többi tagja a helyi kapcsolatkezelőtől származik, nem a hálózattól.

Kapcsolja be a nyomkövetést, mielőtt bármit újjáépít. A nyomkövetés megnevezi a meghiúsuló szakaszt, és egy szakasznév többet ér a párbeszédablak szövegénél:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

A nyomok a nyomkövetési könyvtár alá kerülnek, és ott maradnak, amíg ki nem törli őket, ezért utána kapcsolja ki a nyomkövetést, ahelyett hogy hetekig futni hagyná.

Egy csatlakozott profil is mindent elronthat

Az a profil, amely csatlakozik, majd elrontja a böngészést, egy helyi megosztást vagy egy konténermotort, útválasztási problémával küzd, nem alagúttal. Az alapértelmezett átjáró az alagútba került, így minden cél most egy olyan társ felé megy, amely esetleg nem irányítja.

Két vezérlő dönt erről. Az egyik a profil split tunneling tulajdonsága. A másik az adapterenkénti lehetőség az alapértelmezett átjáró használatára a távoli hálózaton, amely az IPv4 speciális beállításai alatt található.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

A split tunneling bekapcsolása útvonalak hozzáadása nélkül olyan alagutat ad, amely csatlakozik, és semmit nem ér el. Kikapcsolása DNS-ellenőrzés nélkül belső neveket eredményez, amelyek nyilvános válaszokra oldódnak fel, mert az adapter saját utótagja és kiszolgálói nem használatosak.

Ellenőrizze a csővezetéket, aztán a típust

Ebben a sorrendben dolgozzon, és álljon meg, ha egy lépés meghiúsul, ahelyett hogy mindent egyszerre állítana:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Az első parancs elválasztja az elérhetőséget a protokolltól. A második megerősíti, minek mondja magát a profil. Az útvonaltábla megmutatja, elkaparintotta-e az alagút az alapértelmezett útvonalat. A tárcsázási parancs a kapcsolatkezelő saját hibáját jelenti, amely gyakran világosabb a párbeszédablaknál.

Jegyezze fel a jegybe az alagút típusát, az átjáró termékét és a pontos hibát. A következő ember így egy percen belül tudja, protokoll-eltérésről, tanúsítványhibáról vagy útválasztási döntésről van-e szó, ahelyett hogy „a VPN nem működik” mondattal kezdené.