რომელი RRAS საიტის ინტერფეისი ირჩევს შემომავალ გვირაბს?
RRAS შემომავალ საიტის ინტერფეისს ირჩევს პარტნიორის მისამართით, მომხმარებლის სახელით ან სერტიფიკატის სუბიექტით, ამიტომ ეს გასაღები წაიკითხეთ ცალკე მისი ჩართული და დაკავშირებული მდგომარეობებისგან.
Windows-ის სერვერზე, რომელსაც რამდენიმე საიტ-საიტ ინტერფეისი აქვს, კონსოლის წარწერა მხოლოდ ადამიანებისთვის განკუთვნილი შენიშვნა არ არის. RRAS შემომავალი კავშირიდან იყენებს გარკვეულ ველს იმის გადასაწყვეტად, რომელი ლოგიკური ინტერფეისი უპასუხებს, და ეს ველი იცვლება ავთენტიფიკაციის მეთოდის მიხედვით. თუ გასაღებს შეცდომით აიღებთ, ინტერფეისებს გადაარქმევთ მანამ, სანამ რაღაც შემთხვევით არ დაუკავშირდება. არჩევის წესი, ადმინისტრაციული მდგომარეობა და სესიის მდგომარეობა სამი ცალკეული ფაქტია და მათგან მხოლოდ ერთი ეხება სახელდებას.
მითი: გადარქმეული ინტერფეისი ყველაფერს დაემთხვევა
მაცდური გამოსწორება, როცა ფილიალი ვერ უკავშირდება, არის საიტის ინტერფეისის შექმნა ან გადარქმევა მანამ, სანამ ის დამრეკს არ დაემსგავსება. ეს მუშაობს ერთი ავთენტიფიკაციის მეთოდისთვის და ჩუმად ვარდება დანარჩენებისთვის, ამიტომ იგივე პროცედურა ერთმანეთის საწინააღმდეგო შედეგებით გადაეცემა. საიტის ინტერფეისი ლოგიკური კავშირის ობიექტია საკუთარი დანიშნულებით, დაცული პრეფიქსებითა და მდგომარეობით. ის არ არის დაშიფრული პაკეტების მატარებელი ფიზიკური ადაპტერი, ამიტომ ქსელური ადაპტერების ყურება არაფერს გეუბნებათ იმის შესახებ, რომელი საიტის ობიექტი შეირჩა.
არჩევანს არაფერი აქვს საერთო ჩვეულებრივი დისტანციური წვდომის მომხმარებლებთან. თუ თანამშრომლების VPN კლიენტები უკავშირდებიან, მათ სხვა როლი აქვთ და მათი მომხმარებლის სახელები ამ შესაბამისობაში არასდროს მონაწილეობენ. დაადასტურეთ, რომელ როლს ეკუთვნის დამრეკი, სანამ ნაცნობ სახელში რამეს წაიკითხავთ.
ავთენტიფიკაციის სამი ფორმა, არჩევის სამი გასაღები
წინასწარ გაზიარებული გასაღებით ინტერფეისის კონფიგურირებული დანიშნულების მისამართი შედარებულია შემომავალი პარტნიორის მისამართს. წარწერა შეიძლება ყველაფერი იყოს, რადგან გადაწყვეტილებას მისამართი ატარებს. მომხმარებლის სახელზე დაფუძნებული ავთენტიფიკაციისას ინტერფეისის სახელი შედარებულია დამრეკის მიერ წარმოდგენილ მომხმარებლის სახელს. აქ წარწერა თავად გასაღებია და სწორედ ამიტომ შეიძლება გადარქმევა ისე გამოიყურებოდეს, თითქოს ერთ საიტს ასწორებს და მეორეს ამტვრევს.
სერტიფიკატებით ინტერფეისის სახელი შედარებულია წარმოდგენილ სერტიფიკატში სუბიექტის სახელს. სახელი უნდა შეესაბამებოდეს ამ სუბიექტს და ოპერატორის მოფიქრებული ლამაზი წარწერა არ იქნება საკმარისი.
აქედან გამომდინარეობს ორი შედეგი. წინასწარ გაზიარებული გასაღების სქემაში მოცემული დანიშნულებისთვის მხოლოდ ერთი ინტერფეისი შეიძლება იყოს ჩართული, ამიტომ თუ ორი ფილიალი ერთ დაკვირვებულ საჯარო მისამართს იზიარებს, ორივეს მომსახურება დუბლირებული ჩანაწერებით შეუძლებელია. და მოქმედებს ის მეთოდი, რომელიც რეალურად კონფიგურირეთ, მიუხედავად იმისა, რას შესთავაზებს კონსოლი.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
ჩართული არ ნიშნავს დაკავშირებულს
ადმინისტრაციული სტატუსი ამბობს, ნებადართულია თუ არა ლოგიკური ინტერფეისის მუშაობა. კავშირის მდგომარეობა ამბობს, არის თუ არა ახლა სესია. ჩართული ინტერფეისი სესიის გარეშე მოთხოვნით აკავშირებადი ხაზის ნორმალური დასვენების მდგომარეობაა და მისი როგორც გაუმართაობის მოხსენება ადამიანებს არარსებული შეფერხების კვალდაკვალ აგზავნის.
გამოიყენეთ სახელობითი ძებნა ან დოკუმენტირებული მარშრუტიზაციის დომენის ძებნა, მაგრამ არა ორივე პარამეტრი ერთად, და გაუშვით ის განკუთვნილ სერვერის კონტექსტში. თუ მოსალოდნელი ინტერფეისი პირველ სიაში არ არის, პრობლემა მდგომარეობამდეა: საერთოდ არაფერი არ შერჩა.
წაიკითხეთ წყვილი ერთად და არა ცალ-ცალკე. ხაზი, რომელიც უნდა დარჩეს დამყარებული და გაწყვეტილად ჩანს, გამოძიებას იმსახურებს, ხოლო მოთხოვნით დაკავშირებადი უმოქმედო ხაზი ისე იქცევა, როგორც დაპროექტდა. ამასობაში ადმინისტრაციულად გამორთული ინტერფეისი ბნელი დარჩება, რამდენჯერაც არ უნდა გადატვირთოს მოპირდაპირე მხარემ თავისი მარშრუტიზატორი.
არცერთი მნიშვნელობა არ ამტკიცებს, რომ ავთენტიფიკაცია წარმატებით დასრულდა, რომ შეთანხმებული დაცვა ემთხვევა, რომ მარშრუტები დაყენდა ან რომ კერძო აპლიკაცია ნებადართულია. ეს ოთხი განსხვავებული კითხვაა ოთხი განსხვავებული პასუხით.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateწაიკითხეთ იდენტობის ტრანზაქცია, სანამ რამეს ჩართავთ
როცა შემომავალი დამრეკი იმ ინტერფეისზე აისახება, რომელსაც არ ელოდით, სასარგებლო მტკიცებულება მის მიერ წარმოდგენილი იდენტობაა და არა გამორთული ინტერფეისების სია. ამოიღეთ ბოლო დისტანციური წვდომის მოვლენები და წაიკითხეთ დამრეკის მისამართი, ავთენტიფიკაციის შედეგი და შერჩეული ინტერფეისის სახელი. გამორთული ინტერფეისი შეიძლება იყოს განზრახ გაუქმებული საიტი ან აკრძალული პარტნიორი. მისი ჩართვა იმის სანახავად, გაქრება თუ არა ერთი შესვლის შეცდომა, კონფიგურაციის ცვლილებაა მარშრუტიზაციისა და წვდომის შედეგებით, ამიტომ გადაწყვეტილება გაატარეთ ამ საიტის ურთიერთობის მფლობელის გავლით, მის დანიშნულებასთან, დაცულ პრეფიქსებსა და პოლიტიკასთან ერთად.
თუ ასახვა ნამდვილად არასწორია, შეასწორეთ გასაღები და არა სიმპტომი: შეასწორეთ სერტიფიკატის სუბიექტი ან მომხმარებლის სახელის შემთხვევაში ინტერფეისის სახელი, ხოლო წინასწარ გაზიარებული გასაღების შემთხვევაში დანიშნულება. შემდეგ ერთხელ ხელახლა დაუკავშირდით და დაადასტურეთ, რომ იგივე დამრეკი ახლა განკუთვნილ ობიექტს ირჩევს.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }დახურეთ ციკლი ნებადართული ოპერაციით
მწვანე მდგომარეობა მიღება არ არის. როგორც კი სწორი ინტერფეისი შეირჩევა, შექმენით ტრაფიკი, რომელსაც პროექტი უშვებს, ერთი დაცული პრეფიქსის ჰოსტიდან მეორის ჰოსტამდე, და დაადასტურეთ, რომ პასუხი იმავე გზით ბრუნდება. გაუშვით იგივე ცდა ჰოსტიდან, რომელიც უნდა უარყოს, გამოყენებით Test-NetConnection -ComputerName 10.44.2.10 -Port 445 სერვისის წინააღმდეგ, რომელსაც პროექტი გამორიცხავს, და კიდევ წაიკითხეთ დისტანციური წვდომის მოვლენები. საიტის ხაზი, რომელიც თავის განკუთვნილ პრეფიქსებზე მეტს ატარებს ან პასუხობს სერვისზე, რომელსაც პოლიტიკა გამორიცხავს, მარშრუტიზაციის შეცდომაა, რომელსაც მდგომარეობის არცერთი შემოწმება არ გამოავლენს.
ჩაწერეთ ავთენტიფიკაციის მეთოდი, არჩევის გასაღები და ნებადართული პრეფიქსები ერთად საიტის ექსპლუატაციის სახელმძღვანელოში. შემდეგი ინჟინერი იმავე სამმნიშვნელობიან ცხრილს შეხვდება და სახელდების კონვენციას აზრი მხოლოდ მაშინ აქვს, როცა ეს კონტექსტი დაწერილია.