Port í Windows VPN-vistfangsreitnum virkar aðeins fyrir SSTP

VPN-netþjónn svarar á TCP 10443, innbyggði Windows-biðlarinn hefur réttu skírteinin, og samt sem áður dettur tengingin út eftir hlé sem lítur út eins og DNS-tímamörk. Orsökin er venjulega vistfangsreiturinn: að skrifa vpn.example.com:10443 í Heiti netþjóns eða vistfang lætur Windows lesa allan strenginn sem netþjónsnafn, því sá reitur er ekki almenn host:port-inntak. Hvort hægt er að tjá port þar yfirleitt fer eftir tegund göngunnar sem sniðið notar, og aðeins ein af fjórum tegundum meðhöndlar gildið sem eitthvað sem hún getur þáttað.

Hvers vegna vistfangsreiturinn er ekki host:port-reitur

Eiginleiki sniðsins bak við þann reit er ServerAddress, og hver gangategund ákveður hvað hún gerir við strenginn. Þrjár þeirra hafa engan portfæribreytu til að fylla út, svo tvípunktur og tala eru einfaldlega stafir í nafni sem verður aldrei leyst. Sú fjórða keyrir yfir HTTPS, þar sem port er hluti af slóðinni, svo gildið verður að vera skrifað í formi sem þáttast sem slóð.

Þess vegna lítur bilunin út eins og nafnaleysing frekar en synjaðri tengingu. Það er ekkert slæmt port að tilkynna, bara netþjónsnafn sem er ekki til, og villan kemur eftir að leysirinn gefst upp. Áður en þú snertir netþjóninn skaltu athuga hvaða gangategund sniðið segist nota.

Þrjár tegundirnar með fast port

PPTP tengist TCP 1723 og flytur síðan gönguna í GRE, IP-samskiptareglu 47. L2TP/IPsec notar UDP 1701 fyrir gönguna og UDP 500 auk 4500 fyrir IPsec, þar sem 4500 er NAT-gegnumfararport. IKEv2 notar einnig UDP 500 og 4500. Ekkert þessara sniða sýnir portreit hvergi í viðmótinu, og ekkert mun semja um óhefðbundið port.

Netþjónn sem hlustar á sérsniðnu porti er því óaðgengilegur þessum sniðum, sama hvernig vistfangið er skrifað. Hagnýtu svörin eru þröng: birtu staðalportið á netþjóninum, eða þýddu staðalportið í sérsniðna portið á beininum fyrir framan hann. Bæði láta biðlarasniðið ósnert, sem er mikils virði þegar sniðinu er dreift með stefnu í stað þess að vera slegið inn handvirkt.

SSTP þarf slóð, ekki nafn

SSTP er undantekningin því það keyrir inni í TLS-lotu. Reiturinn verður að þáttast sem slóð: fyrst https:// fyrirbærið, svo netþjónninn, svo tvípunktur og portið. Án fyrirbærisins heldur Windows áfram að meðhöndla gildið sem venjulegt nafn og tengingin bregst áður en nokkur TLS-skipti eiga sér stað.

Ástæðan fyrir því að þetta kemur fólki á óvart er að sjálfgefna portið tekur við bertu netþjónsnafninu. Snið sem þurfti aldrei sérsniðið port kennir aldrei regluna, og fyrsti maðurinn sem bætir við einu uppgötvar hana með því að mistakast. Eftir að hafa vistað skaltu lesa vistaða gildið aftur í stað þess að treysta glugganum:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress sýnir nákvæmlega það sem var vistað. Ef það er lesið sem bert netþjónsnafn með tvípunkti í, fékk sniðið aldrei slóð og engin endurtekning mun laga það.

Framleiðandamálfræði sem límist í sama reit

Sumar gáttir skrá viðbótarsiðvenjur fyrir þann reit, eins og ríki sem bætt er við eftir portinu eða fyrirspurnarfæribreytur sem breyta meðferð skírteina. Þeim er skilið af netþjóni þess framleiðanda og, í sumum byggingum, af eigin biðlara hans. Þær eru ekki hluti af Windows-sniðsformatinu, og að líma þær inn í innbyggt snið framleiðir venjulega sömu hljóðlátu nafnabilunina.

Meðhöndlaðu færibreytu sem slökkvir á skírteinavottun sem viðvörun frekar en lagfæringu. Ef snið tengist aðeins með þeirri færibreytu passar skírteinið ekki við nafnið sem er notað, og rétta lagfæringin er á gáttinni, ekki í biðlaranum. Ríki eftir portið hefur sömu eiginleika: það gerir eitthvað aðeins ef netþjónninn hinum megin væntir þess.

Sannaðu portið og lestu svo það stig sem bregst

Staðfestu að eitthvað taki við TCP á því porti frá netkerfi biðlarans áður en þú kennir sniðinu um:

Test-NetConnection vpn.example.com -Port 10443

Árangur sannar hlustanda, ekki SSTP. Vefþjónn, öfug umboðsþjónn eða hleðslujafnari geta klárað TCP-handabandið og samt ekki talað SSTP, svo grænt próf með rauðu VPN er raunveruleg samsetning. Berðu saman viðfang skírteinisins við nafnið í sniðinu og athugaðu RasClient-annállinn í byggingum sem senda hann, því hann skráir það stig sem brást í stað almennra tímamarka.

Íhugaðu þá valkostinn sem fjarlægir vandamálið í stað þess að skjalfesta það: framsendu TCP 443 að utan á 10443 á VPN-netþjóninum. Biðlarinn notar þá sjálfgefna sniðið án nokkurs ports, sem er venjulega snyrtilegasta fyrirkomulagið fyrir stýrðan flota og lætur sérsniðna portið vera innri smáatriði.