Windows-ի ներկառուցված VPN-ը չի հասնում մատակարարի SSL դարպասին՝ ինչու

Windows-ը գալիս է չորս տեսակի թունելով, և մատակարարի SSL դարպասը դրանցից մեկը չէ։ Միևնույն է ուղղեք ներկառուցված պրոֆիլը նման դարպասի, և կապը ձախողվում է դեռ հավատարմագրերի հարցումից առաջ, սովորաբար հաղորդագրությամբ, որ կապը դադարեցվել է տեղական համակարգի կողմից։ Այդ տեքստը անհամապատասխանության ազդանշան է, ոչ ախտորոշում։ Պրոֆիլի տեսակը և արձանագրությանը տիրապետող հաճախորդը պետք է համընկնեն, և նրանցից մեկը բացակայում է։

Չորս տեսակ և մեկ երկխոսություն

Յուրաքանչյուր պահված պրոֆիլ կրում է թունելի տեսակ։ Ներկառուցված հաճախորդն ընդունում է PPTP, L2TP, IKEv2 և SSTP, ինչպես նաև ավտոմատ ռեժիմ, որը փորձում է դրանք հերթով։ Ընդհանուր SSL VPN գրառում չկա, և երկխոսության միջոցով հնարավոր չէ ավելացնել այն։ Մատակարարի դարպասը խոսում է իր սեփական կիրառական արձանագրությամբ TLS-ի վրա, որը իրականացնում է միայն այդ մատակարարի հաճախորդը։

Ցանկը մեկ հրամանի հեռավորության վրա է, և արժե այն գործարկել ցանկացած այլ ախտորոշումից առաջ, որովհետև այն տևում է մեկ վայրկյան և վերացնում սխալ ենթադրությունների մի ամբողջ դաս։

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Եթե պրոֆիլը ասում է SSTP, իսկ դարպասը RRAS սերվեր չէ, ապա անհամապատասխանությունն արդեն հաստատված է։ Վկայագրի կամ հրային պատի ոչ մի աշխատանք դա չի փոխում։

SSTP-ն և մատակարարի TLS-ը նույն տեսքն ունեն 443 պորտում

SSTP-ն փաթաթում է PPP սեանսը TLS-ի մեջ և շարժվում TCP 443-ով։ Microsoft-ի կույտում այն ավարտում է RRAS-ը, որը ներկայացնում է սերվերի վկայագիր, որը հաճախորդը ստուգում է։ Fortinet-ի, Citrix-ի կամ Pulse-ի սարքը նույնպես ավարտում է TLS-ը 443-ում, և նրա պորտալը բացվում է ցանկացած բրաուզերում առանց բողոքների։

Այդ բրաուզերային թեստը ապացուցում է հասանելիությունը, ոչ համատեղելիությունը։ Պորտալի հետևի սեանսի արձանագրությունը պատկանում է մատակարարին, և ներկառուցված հաճախորդը դրա ոչ մի իրականացում չունի։ Այն՝ թե մատակարարը տրամադրում է իր սեփական հաճախորդը, ասում է, թե անհամապատասխանության որ կեսի հետ գործ ունեք։

Հակառակ շփոթությունը նույնպես լինում է։ SSTP-ով կարգավորված պրոֆիլը իսկական RRAS սերվերի դեմ կարող է ձախողվել վկայագրի ստուգման ժամանակ, մինչ պորտալը կարգին է, և դա վկայագրի խնդիր է, ոչ արձանագրության։

Սխալներ, որոնք ի հայտ են գալիս նախքան թունելի գոյությունը

800 շարքի կոդերը հաղորդվում են ցանկացած թունել ստեղծելուց առաջ, դրա համար հրային պատի կանոնները հազվադեպ են դրանք տեղափոխում։ 812 սխալը սերվերի կողմի քաղաքականություն է, որը մերժում է հաճախորդի առաջարկած նույնականացման եղանակը։ Տիրույթի մյուսները գալիս են տեղական միացումների մենեջերից, ոչ ցանցից։

Միացրեք հետևումը նախքան ինչ-որ բան վերակառուցելը։ Հետևումը նշում է ձախողված փուլը, և փուլի անունն ավելի արժեքավոր է, քան երկխոսության տեքստը։

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Հետքերը հայտնվում են հետևման պանակում և մնում այնտեղ, քանի դեռ չմաքրեք դրանք, այնպես որ հետո անջատեք հետևումը՝ շաբաթներով միացված չթողնելով։

Միացված պրոֆիլը դեռ կարող է ամեն ինչ կոտրել

Պրոֆիլը, որը միանում է, ապա կոտրում է զննարկումը, տեղական համօգտագործումը կամ կոնտեյների շարժիչը, ունի երթուղավորման խնդիր, ոչ թունելի։ Լռելյայն դարպասը տեղափոխվել է թունել, ուստի յուրաքանչյուր նպատակակետ այժմ անցնում է գործընկերոջ միջով, որը գուցե չի երթուղավորում այն։

Երկու կառավարիչ է դա որոշում։ Մեկը պրոֆիլի split tunneling հատկությունն է։ Մյուսը՝ յուրաքանչյուր ադապտերի ընտրանքը՝ օգտագործել լռելյայն դարպասը հեռավոր ցանցում, որը գտնվում է IPv4-ի ընդլայնված կարգավորումներում։

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Split tunneling-ը միացնելը առանց երթուղիներ ավելացնելու ստեղծում է թունել, որը միանում է և ոչ մի տեղ չի հասնում։ Այն անջատելը առանց DNS-ը ստուգելու ստեղծում է ներքին անուններ, որոնք լուծվում են հանրային պատասխանների, որովհետև ադապտերի սեփական վերջածանցն ու սերվերները չեն օգտագործվում։

Ստուգեք խողովակաշարը, ապա տեսակը

Աշխատեք այս հերթականությամբ և կանգ առեք, երբ քայլը ձախողվի, փոխարենը ամեն ինչ միասին կարգավորելու։

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Առաջին հրամանը առանձնացնում է հասանելիությունը արձանագրությունից։ Երկրորդը հաստատում է, թե ինչ է պնդում պրոֆիլը։ Երթուղիների աղյուսակը ցույց է տալիս, թե արդյոք թունելը զավթել է լռելյայն երթուղին։ Հավաքման հրամանը հաղորդում է միացումների մենեջերի սեփական սխալը, որը հաճախ ավելի պարզ է, քան երկխոսությունը։

Տոմսում գրանցեք թունելի տեսակը, դարպասի արտադրանքը և ճշգրիտ սխալը։ Այնուհետև հաջորդ մարդը մեկ րոպեում իմանում է՝ արձանագրության անհամապատասխանությո՞ւն է, վկայագրի ձախողությո՞ւն, թե՞ երթուղավորման որոշում, «VPN-ը չի աշխատում»-ից սկսելու փոխարեն։