Quale interfaccia di sito RRAS sceglie un tunnel in entrata?
RRAS sceglie un’interfaccia di sito in entrata in base all’indirizzo del peer, al nome utente o al soggetto del certificato, quindi leggere quella chiave separatamente dai suoi stati abilitato e connesso.
Su un server Windows con più interfacce sito-a-sito, un’etichetta nella console non è solo una nota per le persone. RRAS usa un campo specifico della connessione in entrata per decidere quale interfaccia logica risponde, e quel campo cambia con il metodo di autenticazione. Se si sbaglia la chiave, si rinominano interfacce finché qualcosa non si connette per caso. La regola di selezione, lo stato amministrativo e lo stato della sessione sono tre fatti separati, e solo uno di essi riguarda i nomi.
Il mito: un’interfaccia rinominata corrisponderà a qualsiasi cosa
La correzione tentatrice quando una filiale non riesce a connettersi è creare o rinominare un’interfaccia di sito finché non somiglia al chiamante. Funziona per un metodo di autenticazione e fallisce in silenzio per gli altri, ed è per questo che la stessa procedura circola con risultati contraddittori. Un’interfaccia di sito è un oggetto di connessione logico con la propria destinazione, i prefissi protetti e lo stato. Non è l’adattatore fisico che trasporta i pacchetti cifrati, quindi guardare gli adattatori di rete non dice nulla su quale oggetto di sito sia stato selezionato.
La selezione non ha nulla a che fare nemmeno con i normali utenti dell’accesso remoto. Se i client VPN dei dipendenti compongono, hanno un altro ruolo, e i loro nomi utente non partecipano mai a questa mappatura. Confermare a quale ruolo appartiene il chiamante prima di leggere qualcosa in un nome familiare.
Tre forme di autenticazione, tre chiavi di selezione
Con una chiave precondivisa, l’indirizzo di destinazione configurato dell’interfaccia viene confrontato con l’indirizzo del peer in entrata. L’etichetta può essere qualsiasi cosa, perché è l’indirizzo a portare la decisione. Con l’autenticazione basata sul nome utente, il nome dell’interfaccia viene confrontato con il nome utente presentato dal chiamante. Qui l’etichetta è la chiave, ed è esattamente per questo che una rinomina può sembrare sistemare un sito e romperne un altro.
Con i certificati, il nome dell’interfaccia viene confrontato con il nome del soggetto nel certificato presentato. Il nome deve corrispondere a quel soggetto, e un’etichetta graziosa inventata da un operatore non basterà.
Ne derivano due conseguenze. Nello schema con chiave precondivisa si può abilitare una sola interfaccia per una data destinazione, quindi due filiali che condividono un unico indirizzo pubblico osservato non possono essere servite entrambe con voci duplicate. E comanda il metodo che si è effettivamente configurato, qualunque cosa suggerisca la console.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Abilitato non è connesso
Lo stato amministrativo dice se all’interfaccia logica è permesso operare. Lo stato di connessione dice se esiste una sessione in questo momento. Un’interfaccia abilitata senza sessione è un normale stato di riposo per un collegamento a richiesta, e segnalarlo come guasto manda le persone a inseguire un disservizio che non esiste.
Usare una ricerca per nome o la ricerca documentata sul dominio di routing, ma non entrambi i parametri insieme, ed eseguirla nel contesto server previsto. Se l’interfaccia attesa manca dal primo elenco, il problema è a monte dello stato: non è stato selezionato nulla.
Leggere la coppia insieme e non separatamente. Un collegamento che deve restare stabilito e appare disconnesso merita un’indagine, mentre un collegamento inattivo a richiesta che si connette al bisogno si comporta come progettato. Nel frattempo un’interfaccia disabilitata amministrativamente resterà spenta, per quante volte il lato remoto riavvii il proprio router.
Nessuno dei due valori dimostra che l’autenticazione sia riuscita, che la protezione negoziata coincida, che le rotte siano state installate o che l’applicazione privata sia consentita. Sono quattro domande diverse con quattro risposte diverse.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLeggere la transazione di identità prima di abilitare qualsiasi cosa
Quando un chiamante in entrata viene mappato su un’interfaccia che non si aspettava, la prova utile è l’identità presentata, non l’elenco delle interfacce disabilitate. Estrarre gli eventi recenti di accesso remoto e leggere l’indirizzo del chiamante, l’esito dell’autenticazione e il nome dell’interfaccia selezionata. Un’interfaccia disabilitata può essere un sito ritirato di proposito o un partner vietato. Abilitarla per vedere se un errore di accesso scompare è una modifica di configurazione con conseguenze di routing e accesso, quindi far passare la decisione dal proprietario di quella relazione di sito, insieme alla destinazione, ai prefissi protetti e alla politica.
Se la mappatura è davvero errata, correggere la chiave e non il sintomo: correggere il soggetto del certificato o, nel caso del nome utente, il nome dell’interfaccia, e nel caso della chiave precondivisa la destinazione. Poi riconnettersi una volta e confermare che lo stesso chiamante ora seleziona l’oggetto previsto.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Chiudere il ciclo con un’operazione consentita
Uno stato verde non è un’accettazione. Una volta selezionata l’interfaccia giusta, generare traffico che il progetto consente, da un host in un prefisso protetto a un host nell’altro, e confermare che la risposta torni per lo stesso percorso. Eseguire lo stesso tentativo da un host che dovrebbe essere rifiutato, usando Test-NetConnection -ComputerName 10.44.2.10 -Port 445 contro un servizio che il progetto esclude, e rileggere gli eventi di accesso remoto. Un collegamento di sito che trasporta più dei prefissi previsti, o che risponde per un servizio escluso dalla politica, è un errore di routing che nessun controllo di stato rivelerà.
Registrare il metodo di autenticazione, la chiave di selezione e i prefissi consentiti insieme nel manuale operativo del sito. Il prossimo ingegnere incontrerà la stessa tabella a tre valori, e la convenzione di denominazione ha senso solo quando quel contesto è scritto.