Windows VPN мекенжай өрісіндегі порт тек SSTP үшін жұмыс істейді

VPN сервері TCP 10443 портында жауап береді, Windows-тың кірістірілген клиентінде дұрыс тіркелгі деректері бар, бірақ қосылым DNS уақытының бітуіне ұқсайтын кідірістен кейін де үзіледі. Себебі әдетте мекенжай өрісінде: vpn.example.com:10443 мәнін Сервер атауы немесе мекенжай өрісіне енгізгенде Windows бүкіл жолды хост атауы ретінде оқиды, өйткені бұл өріс жалпы host:port енгізу өрісі емес. Портты сол жерде жалпы түрде көрсетуге бола ма, ол профиль пайдаланатын туннель түріне байланысты, ал төрт түрдің тек біреуі ғана мәнді талдай алатын нәрсе ретінде қарастырады.

Неліктен мекенжай өрісі host:port өрісі емес

Бұл өрістің артындағы профиль қасиеті - ServerAddress, және әр туннель түрі жолмен не істейтінін өзі шешеді. Олардың үшеуінде толтыратын порт параметрі жоқ, сондықтан қос нүкте мен сан ешқашан шешілмейтін атаудағы таңбалар ғана. Төртіншісі HTTPS арқылы жұмыс істейді, онда порт URL-дың бөлігі болып табылады, сондықтан мән URL ретінде талданатын пішінде жазылуы керек.

Сондықтан ақау атауларды шешуге ұқсайды, бас тартылған қосылымға емес. Хабарлайтын нашар порт жоқ, тек жоқ хост атауы бар, ал қате шешуші бас тартқаннан кейін келеді. Серверге тиіспес бұрын профиль қандай туннель түрін пайдаланатынын тексеріңіз.

Тұрақты порты бар үш түр

PPTP TCP 1723 портына қосылады, содан кейін туннельді GRE, IP протоколы 47 ішінде тасымалдайды. L2TP/IPsec туннель үшін UDP 1701, IPsec үшін UDP 500 және 4500 пайдаланады, 4500 - NAT арқылы өту порты. IKEv2 де UDP 500 және 4500 пайдаланады. Бұл профильдердің ешқайсысы интерфейстің ешбір жерінде порт өрісін көрсетпейді және ешқайсысы стандартты емес порт туралы келіспейді.

Реттелген портта тыңдайтын сервер сондықтан мекенжай қалай жазылса да, бұл профильдер үшін қолжетімсіз. Практикалық жауаптар тар: стандартты портты серверде жариялаңыз немесе стандартты портты оның алдындағы маршрутизаторда реттелген портқа аударыңыз. Екеуі де клиент профилін тиіспеген күйде қалдырады, бұл профиль қолмен енгізілмей, саясат арқылы таратылғанда құнды.

SSTP URL-ды қажет етеді, атауды емес

SSTP ерекшелік, өйткені ол TLS сессиясының ішінде жұмыс істейді. Өріс URL ретінде талдануы керек: алдымен https:// схемасы, содан кейін хост, содан кейін қос нүкте және порт. Схемасыз Windows мәнді қарапайым атау ретінде қарастыруды жалғастырады және қосылым кез келген TLS алмасуына дейін үзіледі.

Мұның адамдарды таң қалдыратын себебі - әдепкі порт жалаң хост атауын қабылдайды. Реттелген порт ешқашан қажет болмаған профиль бұл ережені ешқашан үйретпейді, ал оны бірінші қосқан адам сәтсіздік арқылы біледі. Сақтағаннан кейін диалогқа сенудің орнына сақталған мәнді қайта оқыңыз:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress нақты сақталғанды көрсетеді. Егер ол қос нүктесі бар жалаң хост атауы ретінде оқылса, профиль ешқашан URL алмаған және қанша рет қайталаса да бұл түзелмейді.

Сол өріске қойылатын өндіруші синтаксисі

Кейбір шлюздер бұл өріс үшін қосымша конвенцияларды құжаттайды, мысалы порттан кейін қосылатын realm немесе сертификаттарды өңдеуді өзгертетін сұрау параметрлері. Оларды сол өндірушінің сервері және кейбір құрылымдарда өз клиенті түсінеді. Олар Windows профиль пішімінің бөлігі емес, ал оларды кірістірілген профильге қою әдетте сол тыныш атау қатесін тудырады.

Сертификатты тексеруді өшіретін параметрді түзету емес, ескерту ретінде қарастырыңыз. Егер профиль тек сол параметрмен қосылса, сертификат пайдаланылатын атауға сәйкес келмейді, ал дұрыс түзету клиентте емес, шлюзде жасалады. Порттан кейінгі realm де сол қасиетке ие: ол қарсы жақтағы сервер оны күтсе ғана бірдеңе істейді.

Портты дәлелдеңіз, содан кейін сәтсіз кезеңді оқыңыз

Профильді кінәламас бұрын клиент желісінен осы портта TCP-ны бірдеңе қабылдайтынын растаңыз:

Test-NetConnection vpn.example.com -Port 10443

Сәттілік тыңдаушыны дәлелдейді, SSTP-ны емес. Веб-сервер, қарсы прокси немесе жүктеме теңгерушісі TCP қол алысуын аяқтап, бәрібір SSTP сөйлемеуі мүмкін, сондықтан жасыл тест пен қызыл VPN нақты комбинация. Сертификат субъектісін профильдегі атаумен салыстырыңыз және оны қамтитын құрылымдарда RasClient журналын тексеріңіз, өйткені ол жалпы уақыт шегінің орнына сәтсіз болған кезеңді жазады.

Содан кейін мәселені құжаттаудың орнына жоятын нұсқаны қарастырыңыз: сырттан TCP 443 портын VPN серверіндегі 10443 портына бағыттаңыз. Сонда клиент ешқандай портсыз әдепкі профильді пайдаланады, бұл әдетте басқарылатын парк үшін ең таза реттеу және реттелген портты ішкі егжей-тегжей ретінде қалдырады.