Antarmuka situs RRAS mana yang dipilih terowongan masuk?
RRAS memilih antarmuka situs masuk berdasarkan alamat peer, nama pengguna, atau subjek sertifikat, jadi bacalah kunci itu terpisah dari status diaktifkan dan terhubung.
Pada server Windows dengan beberapa antarmuka situs-ke-situs, label konsol bukan sekadar catatan bagi manusia. RRAS memakai bidang tertentu dari koneksi masuk untuk memutuskan antarmuka logis mana yang menjawab, dan bidang itu berubah mengikuti metode autentikasi. Jika salah kunci, Anda akan mengganti nama antarmuka sampai ada yang terhubung secara kebetulan. Aturan pemilihan, status administratif, dan status sesi adalah tiga fakta terpisah, dan hanya satu di antaranya soal penamaan.
Mitos: antarmuka yang diganti namanya akan cocok dengan apa pun
Perbaikan yang menggoda saat sebuah cabang tidak bisa terhubung adalah membuat atau mengganti nama antarmuka situs sampai tampak seperti pemanggilnya. Itu berhasil untuk satu metode autentikasi dan diam-diam gagal untuk yang lain, sehingga prosedur yang sama beredar dengan hasil yang bertentangan. Antarmuka situs adalah objek koneksi logis dengan tujuan, prefiks terlindungi, dan statusnya sendiri. Itu bukan adaptor fisik yang membawa paket terenkripsi, jadi melihat adaptor jaringan tidak memberi tahu apa pun tentang objek situs mana yang dipilih.
Pemilihan juga tidak ada hubungannya dengan pengguna akses jarak jauh biasa. Jika klien VPN karyawan menelepon masuk, mereka berperan lain, dan nama pengguna mereka tidak pernah ikut dalam pemetaan ini. Pastikan pemanggil termasuk peran yang mana sebelum membaca apa pun dari nama yang familier.
Tiga bentuk autentikasi, tiga kunci pemilihan
Dengan kunci yang dibagikan sebelumnya, alamat tujuan antarmuka yang dikonfigurasi dicocokkan dengan alamat peer yang masuk. Labelnya boleh apa saja, karena alamatlah yang membawa keputusan. Dengan autentikasi berbasis nama pengguna, nama antarmuka dicocokkan dengan nama pengguna yang disampaikan pemanggil. Di sini label adalah kuncinya, dan itulah tepatnya sebabnya penggantian nama bisa tampak memperbaiki satu situs dan merusak yang lain.
Dengan sertifikat, nama antarmuka dicocokkan dengan nama subjek pada sertifikat yang disampaikan. Nama itu harus sesuai dengan subjek tersebut, dan label cantik yang dikarang operator tidak akan berlaku.
Ada dua konsekuensi. Dalam susunan kunci yang dibagikan sebelumnya, hanya satu antarmuka yang dapat diaktifkan untuk tujuan tertentu, jadi dua cabang yang berbagi satu alamat publik teramati tidak dapat dilayani keduanya lewat entri ganda. Dan metode yang benar-benar Anda konfigurasikan itulah yang berlaku, apa pun yang disarankan konsol.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Diaktifkan bukan berarti terhubung
Status administratif menyatakan apakah antarmuka logis boleh beroperasi. Status koneksi menyatakan apakah ada sesi saat ini. Antarmuka yang diaktifkan tanpa sesi adalah keadaan diam normal bagi tautan yang memanggil sesuai permintaan, dan melaporkannya sebagai gangguan mengirim orang mengejar pemadaman yang tidak ada.
Gunakan pencarian berdasarkan nama atau pencarian domain perutean yang terdokumentasi, tetapi jangan kedua parameter sekaligus, dan jalankan dalam konteks server yang dimaksud. Jika antarmuka yang Anda harapkan tidak ada di daftar pertama, masalahnya ada sebelum status: tidak ada yang dipilih sama sekali.
Bacalah pasangan itu bersama-sama, bukan terpisah. Tautan yang seharusnya tetap terbentuk dan tampak terputus layak diselidiki, sedangkan tautan menganggur yang tersambung sesuai permintaan berperilaku sebagaimana dirancang. Sementara itu antarmuka yang dinonaktifkan secara administratif akan tetap gelap, berapa kali pun sisi jauh memulai ulang routernya.
Tidak satu pun dari kedua nilai itu membuktikan autentikasi berhasil, perlindungan yang dinegosiasikan cocok, rute terpasang, atau aplikasi privat diizinkan. Itu empat pertanyaan berbeda dengan empat jawaban berbeda.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateBacalah transaksi identitas sebelum mengaktifkan apa pun
Ketika pemanggil masuk dipetakan ke antarmuka yang tidak Anda duga, bukti yang berguna adalah identitas yang disampaikannya, bukan daftar antarmuka yang dinonaktifkan. Ambil peristiwa akses jarak jauh terbaru dan baca alamat pemanggil, hasil autentikasi, dan nama antarmuka yang dipilih. Antarmuka yang dinonaktifkan bisa jadi situs yang sengaja dipensiunkan atau mitra yang dilarang. Mengaktifkannya untuk melihat apakah satu galat masuk hilang adalah perubahan konfigurasi dengan konsekuensi perutean dan akses, jadi teruskan keputusan itu melalui pemilik hubungan situs tersebut, beserta tujuan, prefiks terlindungi, dan kebijakannya.
Jika pemetaan memang salah, perbaiki kuncinya, bukan gejalanya: perbaiki subjek sertifikat atau nama antarmuka pada kasus nama pengguna, dan tujuan pada kasus kunci yang dibagikan sebelumnya. Lalu sambungkan ulang sekali dan pastikan pemanggil yang sama kini memilih objek yang dimaksud.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Tutup lingkaran dengan operasi yang diizinkan
Status hijau bukan penerimaan. Setelah antarmuka yang benar dipilih, bangkitkan lalu lintas yang diizinkan rancangan, dari host di satu prefiks terlindungi ke host di prefiks lainnya, dan pastikan balasannya kembali melalui jalur yang sama. Jalankan percobaan yang sama dari host yang seharusnya ditolak, dengan memakai Test-NetConnection -ComputerName 10.44.2.10 -Port 445 terhadap layanan yang dikecualikan rancangan, dan baca lagi peristiwa akses jarak jauh. Tautan situs yang membawa lebih dari prefiks yang dimaksudkan, atau yang menjawab layanan yang dikecualikan kebijakan, adalah kesalahan perutean yang tidak akan diungkap oleh pemeriksaan status mana pun.
Catat metode autentikasi, kunci pemilihan, dan prefiks yang diizinkan bersama-sama dalam buku operasi situs. Insinyur berikutnya akan bertemu tabel tiga nilai yang sama, dan konvensi penamaan baru masuk akal setelah konteks itu dituliskan.