FortiClient が 98% で止まる: そのアダプターの IPv6 を無効にする

バーが 98% に達し、クライアントはそこで止まり、パスワードを再入力しても何も変わりません。これが有用な手がかりです。クライアントはすでにゲートウェイの証明書を受け入れ、資格情報を送信し、トンネル構成を受信しています。残っているのは仮想アダプターを起動し、トンネルが通信を運ぶことを確認することです。この最後の手順が決して完了しない場合、障害はローカルにあり、資格情報を何度再入力してもそこには届きません。

手順は 四つで、最初はバーではなくログを読むことです。

98% カウンターが実際に報告しているもの

パーセンテージはクライアント自身の段階カウンターであり、スループットの指標ではありません。試行のたびに同じ数字で止まるということは、クライアントが特定の段階に達して待機しているということで、だからこそ遅い接続と止まったクライアントはログで違って見えます。資格情報の問題なら、沈黙の停止ではなく資格情報エラーが表示されるはずです。

Fortinet はこの症状をクライアント側の 一つの原因に対して記録しています。クライアントが使うアダプターで IPv6 が有効になっていることです。そのため、アダプター設定が最初に試すべきものであり、すべてのSSL-VPN停止に対する万能の説明ではありません。

手順 1: バーより先にログを読む

何かを変更する前に、停止の直前の行を取得します。トンネルアダプターが作成されたか、アドレスが割り当てられたか、クライアントがアドレスファミリーの待機を諦めたかを見ます。別のパーセンテージでの停止は別の段階で、独自の診断があります。証明書の警告や誤ったゲートウェイアドレスは、沈黙の待機ではなく独自のメッセージを出します。次の試行は同じファイルに別のブロックを追加するので、タイムスタンプを書き留めてください。

ログが完了したログインの後に何も示さないなら、ローカル設定の中にいて、アダプターは正当な容疑者です。

手順 2: IPv6 の変更を 一つのアダプターに限定する

変更はマシンではなくアダプターに属します。Windows のアダプターのプロパティでは、特定のインターフェイスで Internet Protocol Version 6 (TCP/IPv6) をオフにすることであり、シェルからはDisable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6です。再接続する前に状態をGet-NetAdapterBinding -ComponentID ms_tcpip6で確認します。その後で再接続し、バーが 98% で止まらずに通過するかを見ます。

まず範囲を限定し、それから試します。IPv6 をグローバルに無効化するのは問題が必要とするより大きな変更で、触れるつもりのなかったサービスに影響します。

手順 3: 停止が隠していたものを確認する

接続するトンネルは機能するトンネルではありません。クライアントが割り当てたアドレス、プロファイルがインストールしたルート、一つの内部ホストの名前解決を確認します:Resolve-DnsName files.corp.example。接続しても何も解決しないクライアントには DNS の問題があり、それを同じ障害の再発と誤読しやすいのです。

内部リソースを 一つ名前で、公開先を 一つ試して、壊れたスプリットトンネルを修正済みのクライアントと取り違えないようにします。

手順 4: 修正を再現可能にする

設定をフリート全体に届ける必要があるなら、各ノート PC で繰り返す手作業ではなく、展開パッケージかアダプター構成に入れます。チケットには、98% の停止がネットワークインターフェイスの IPv6 に関係していたことと、誰かが無関係なものを直すために再有効化する前に、ホスト上で他に何が IPv6 に依存していたかを記録します。

一人のエンジニアの記憶にしか存在しない修正は、次の四半期に戻ってくる修正です。

IPv6 をオフにしてもバーが 98% で止まるなら、ベンダーの注記はもはや説明にならず、ログが次の証拠です。症状を治療するのをやめ、段階カウンターに戻ってください。