Келіп түсетін туннель қай RRAS сайт интерфейсін таңдайды?
RRAS кіріс сайт интерфейсін серіктес мекенжайы, пайдаланушы аты немесе сертификат субъектісі бойынша таңдайды, сондықтан бұл кілтті қосылған және байланысқан күйлерден бөлек оқыңыз.
Бірнеше сайт-сайт интерфейсі бар Windows серверінде консольдегі белгі тек адамдарға арналған жазба емес. RRAS кіріс қосылымының белгілі бір өрісін қай логикалық интерфейс жауап беретінін шешу үшін пайдаланады, және бұл өріс аутентификация әдісіне қарай өзгереді. Кілтті қате алсаңыз, бірдеңе кездейсоқ қосылғанша интерфейстердің атын өзгертесіз. Таңдау ережесі, әкімшілік күй және сессия күйі үш бөлек факт, және олардың тек біреуі атауға қатысты.
Аңыз: аты өзгертілген интерфейс кез келген нәрсеге сәйкес келеді
Филиал қосыла алмаған кездегі азғызар түзету — шақырушыға ұқсағанша сайт интерфейсін құру немесе оның атын өзгерту. Бұл бір аутентификация әдісі үшін жұмыс істейді, ал қалғандары үшін үнсіз сәтсіз аяқталады, сол себепті сол рәсім қарама-қайшы нәтижелермен таралады. Сайт интерфейсі — өз мақсаты, қорғалған префикстері және күйі бар логикалық қосылыс нысаны. Ол шифрланған пакеттерді тасымалдайтын физикалық адаптер емес, сондықтан желілік адаптерлерге қарау қай сайт нысаны таңдалғаны туралы ештеңе айтпайды.
Таңдаудың қарапайым қашықтан қатынау пайдаланушыларына да қатысы жоқ. Егер қызметкерлердің VPN клиенттері қоңырау шалса, олардың рөлі басқа, және олардың пайдаланушы аттары бұл салыстыруға ешқашан қатыспайды. Таныс атқа бірдеңе оқымас бұрын шақырушының қай рөлге жататынын растаңыз.
Аутентификацияның үш нысаны, таңдаудың үш кілті
Алдын ала бөлісілген кілтпен интерфейстің конфигурацияланған мақсат мекенжайы кіріс серіктесінің мекенжайымен салыстырылады. Белгі кез келген нәрсе болуы мүмкін, өйткені шешімді мекенжай тасымалдайды. Пайдаланушы атына негізделген аутентификацияда интерфейс аты шақырушы ұсынған пайдаланушы атымен салыстырылады. Мұнда белгі — кілттің өзі, және атты өзгерту бір сайтты түзетіп, екіншісін бұзатын сияқты көрінуінің дәл себебі осы.
Сертификаттарда интерфейс аты ұсынылған сертификаттағы субъект атымен салыстырылады. Ат сол субъектіге сәйкес келуі керек, ал оператор ойлап тапқан әдемі белгі жарамайды.
Бұдан екі салдар шығады. Алдын ала бөлісілген кілт схемасында берілген мақсат үшін тек бір интерфейс қосылуы мүмкін, сондықтан бір байқалған жария мекенжайды бөлісетін екі филиалдың екеуіне де қайталанған жазбалармен қызмет көрсету мүмкін емес. Және консоль не ұсынса да, нақты конфигурациялаған әдіс қолданылады.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Қосылған байланысқан дегенді білдірмейді
Әкімшілік мәртебе логикалық интерфейстің жұмыс істеуіне рұқсат бар-жоғын айтады. Байланыс күйі дәл қазір сессия бар-жоғын айтады. Сессиясыз қосылған интерфейс сұраныс бойынша терілетін желі үшін қалыпты тыныштық күйі, және оны ақау деп хабарлау адамдарды жоқ үзілістің соңына түсіреді.
Атаулы іздеуді немесе құжатталған маршруттау домені бойынша іздеуді пайдаланыңыз, бірақ екі параметрді бірге емес, және оны көзделген сервер контекстінде іске қосыңыз. Күткен интерфейс бірінші тізімде болмаса, мәселе күйден жоғары: мүлдем ештеңе таңдалмаған.
Жұпты бөлек емес, бірге оқыңыз. Орнатылған күйде қалуы тиіс және үзілген болып көрінетін байланыс тексеруге тұрарлық, ал сұраныс бойынша қосылатын бос байланыс жобаланғандай әрекет етеді. Сонымен қатар әкімшілік түрде өшірілген интерфейс қарсы жақ өз маршрутизаторын қанша рет қайта іске қосса да қараңғы күйінде қалады.
Екі мәннің ешқайсысы аутентификацияның сәтті өткенін, келісілген қорғаныстың сәйкестігін, маршруттардың орнатылғанын немесе жеке қосымшаға рұқсат берілгенін дәлелдемейді. Бұл төрт түрлі сұрақ және төрт түрлі жауап.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateБірдеңені қосу алдында сәйкестік транзакциясын оқыңыз
Кіріс шақырушы күтпеген интерфейске салыстырылғанда, пайдалы дәлел — өшірілген интерфейстер тізімі емес, ол ұсынған сәйкестік. Соңғы қашықтан қатынау оқиғаларын алып, шақырушының мекенжайын, аутентификация нәтижесін және таңдалған интерфейс атын оқыңыз. Өшірілген интерфейс әдейі зейнетке шығарылған сайт немесе тыйым салынған серіктес болуы мүмкін. Бір кіру қатесі жойыла ма деп оны қосу — маршруттау мен қатынау салдарлары бар конфигурация өзгерісі, сондықтан шешімді сол сайт қатынасының иесі арқылы өткізіңіз, оның мақсатымен, қорғалған префикстерімен және саясатымен бірге.
Егер салыстыру шынымен дұрыс болмаса, симптомды емес, кілтті түзетіңіз: сертификат субъектісін немесе пайдаланушы аты жағдайында интерфейс атын, ал алдын ала бөлісілген кілт жағдайында мақсатты түзетіңіз. Содан кейін бір рет қайта қосылып, сол шақырушының енді көзделген нысанды таңдайтынын растаңыз.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Циклді рұқсат етілген операциямен жабыңыз
Жасыл күй — қабылдау емес. Дұрыс интерфейс таңдалған соң, жоба рұқсат ететін трафикті бір қорғалған префикстегі хосттан екіншісінің хостына жасаңыз және жауаптың сол жолмен қайтатынын растаңыз. Сол әрекетті қабылданбауы тиіс хосттан да орындаңыз, мынаны пайдаланып Test-NetConnection -ComputerName 10.44.2.10 -Port 445 жоба алып тастайтын қызметке қарсы, және қашықтан қатынау оқиғаларын қайта оқыңыз. Өзінің көзделген префикстерінен артық тасымалдайтын немесе саясат алып тастайтын қызметке жауап беретін сайт желісі — күй тексерісінің ешқайсысы ашпайтын маршруттау қатесі.
Аутентификация әдісін, таңдау кілтін және рұқсат етілген префикстерді бірге сайттың пайдалану нұсқаулығына жазыңыз. Келесі инженер сол үш мәнді кестеге тап болады, және атау конвенциясы сол контекст жазылғанда ғана мағынаға ие болады.