Innbyggða VPN Windows nær ekki SSL-gátt seljanda: hvers vegna

Windows kemur með fjórar gerðir af göngum, og gátt seljanda er engin þeirra. Beindu samt innbyggðu sniði að slíkri gátt, og tengingin mistekst áður en auðkennanna er spurt, venjulega með skilaboðum um að staðbundið kerfið hafi slitið tengingunni. Sá texti er merki um misræmi, ekki greiningu. Gerð sniðsins og biðlarinn sem á samskiptareglurnar verða að stemma, og annar þeirra vantar.

Fjórar gerðir og einn gluggi

Hvert vistað snið ber gerð af göngum. Innbyggði biðlarinn tekur PPTP, L2TP, IKEv2 og SSTP, auk sjálfvirkrar stillingar sem prófar þau í röð. Engin almenn SSL VPN-færsla er til, og ekki er hægt að bæta einni við í gegnum gluggann. Gátt seljanda talar eigin forritareglum yfir TLS, sem aðeins biðlari þess seljanda útfærir.

Listinn er ein skipun í burtu, og þess virði að keyra hann fyrir alla aðra villugreiningu því hann tekur sekúndu og fjarlægir heilan flokk rangra forsendna:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ef sniðið segir SSTP og gáttin er ekki RRAS-þjónn, er misræmið þegar staðfest. Ekkert skírteinis- eða eldveggjarverk breytir því.

SSTP og TLS seljanda líta eins út á porti 443

SSTP vefur PPP-lotunni inn í TLS og fer um TCP 443. Í Microsoft-stakkanum lýkur RRAS henni og sýnir fram á þjónskírteini sem biðlarinn staðfestir. Fortinet-, Citrix- eða Pulse-tæki lýkur einnig TLS á 443, og gátt þess opnast í hvaða vafra sem er án kvartana.

Sú vafraprófun sannar aðgengi, ekki samhæfni. Lotu-samskiptareglurnar bak við gáttina tilheyra seljandanum, og innbyggði biðlarinn hefur enga útfærslu á þeim. Hvort seljandinn útvegar eigin biðlara segir þér við hvilka hálfa af misræminu þú ert að glíma.

Öfuga ruglið gerist líka. Snið stillt sem SSTP gegn raunverulegum RRAS-þjóni getur mistekist á skírteinisstaðfestingu meðan gáttin er í lagi, og það er skírteinisvandamál en ekki samskiptaregluvandamál.

Villur sem birtast áður en göng verða til

Kóðar 800-röðarinnar eru tilkynntir áður en nokkur göng eru komin á, þess vegna færa eldveggjarreglur þá sjaldan. Villa 812 er stefna á þjónshlið sem hafnar auðkenningaraðferðinni sem biðlarinn bauð. Hinar í bilinu koma frá staðbundna tengistjóranum en ekki frá netinu.

Kveiktu á rakningu áður en þú byggir nokkuð upp á nýtt. Rakningin nefnir það þrep sem bregst, og nafn á þrepi er meira virði en texti gluggans:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Rakningar lenda undir rakningarmöppunni og verða þar þangað til þú hreinsar þær, svo slökktu á rakningunni eftir á í stað þess að láta hana ganga í vikur.

Tengt snið getur samt eyðilagt allt

Snið sem tengist og eyðileggur svo vafur, staðbundið sameign eða gámavél hefur slóðavandamál, ekki gangavandamál. Sjálfgefna gáttin flutti í göngin, svo hvert áfangastaður fer nú um jafningja sem kannski beinir því ekki.

Tvær stjórnstöðvar ráða þessu. Önnur er split tunneling-eiginleikinn á sniðinu. Hin er val á hverjum netkorti að nota sjálfgefnu gáttina á fjarnetinu, sem er undir nánari IPv4-stillingum.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Að kveikja á split tunneling án þess að bæta við slóðum gefur göng sem tengjast og ná engu. Að slökkva á því án DNS-athugunar gefur innri nöfn sem leysast í opinber svör, því eigin viðskeyti og þjónar netkortsins eru ekki notuð.

Athugaðu pípulögnina, svo gerðina

Vinnu í þessari röð, og stansaðu þegar þrep bregst í stað þess að stilla allt í einu:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Fyrsta skipunin aðskilur aðgengi frá samskiptareglum. Sú önnur staðfestir hvað sniðið segist vera. Slóðataflan sýnir hvort göngin náðu sjálfgefnu slóðinni. Hringiskipunin tilkynnir eigin villu tengistjórans, sem er oft skýrari en glugginn.

Skráðu gerð ganganna, vöru gáttarinnar og nákvæmu villuna í miðann. Næsti maður veit þá innan mínútu hvort þetta er misræmi í samskiptareglum, skírteinisbilun eða ákvörðun um slóðir, í stað þess að byrja á “VPNið virkar ekki”.