Windows-тың кіріктірілген VPN-і жеткізушінің SSL шлюзіне жетпейді: себебі

Windows-пен төрт туннель түрі бірге келеді, ал жеткізушінің SSL шлюзі олардың бірі емес. Соған қарамастан кіріктірілген профильді осындай шлюзге бағыттасаңыз, байланыс тіркелгі деректері сұралмай тұрып үзіледі, әдетте байланысты жергілікті жүйе тоқтатты деген хабарламамен. Бұл мәтін сәйкессіздік белгісі, диагностика емес. Профиль түрі мен протоколға ие клиент үйлесуі керек, ал олардың біреуі жоқ.

Төрт түр және бір диалог

Әр сақталған профиль туннель түрін алып жүреді. Кіріктірілген клиент PPTP, L2TP, IKEv2 және SSTP қабылдайды, сонымен қатар оларды ретімен сынайтын автоматты режим бар. Жалпы SSL VPN жазбасы жоқ, оны диалог арқылы қосу жолы да жоқ. Жеткізушінің шлюзі TLS үстінде өз қолданбалы протоколын сөйлейді, оны тек сол жеткізушінің клиенті жүзеге асырады.

Тізім бір команда қашықтықта, және оны кез келген басқа ақаулық іздеуден бұрын іске қосқан жөн, өйткені ол бір секунд алады және қате болжамдардың бүкіл класын жояды:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Профиль SSTP десе, ал шлюз RRAS сервері болмаса, сәйкессіздік әлдеқашан анықталған. Сертификат немесе желілік қалқан жұмысы оны өзгертпейді.

SSTP мен жеткізушінің TLS 443 портында бірдей көрінеді

SSTP PPP сессиясын TLS ішіне орап, TCP 443 бойынша жүреді. Microsoft стекінде оны RRAS аяқтайды, ол клиент тексеретін сервер сертификатын ұсынады. Fortinet, Citrix немесе Pulse құрылғысы да 443-те TLS-ті аяқтайды, ал оның порталы кез келген браузерде шағымсыз ашылады.

Бұл браузер сынағы қолжетімділікті дәлелдейді, үйлесімділікті емес. Порталдың артындағы сессия протоколы жеткізушіге тиесілі, ал кіріктірілген клиентте оның ешбір іске асырылуы жоқ. Жеткізуші өз клиентін ұсына ма, бұл сіздің сәйкессіздіктің қай жартысымен айналысып жатқаныңызды көрсетеді.

Кері шатасу да болады. SSTP ретінде бапталған профиль нақты RRAS серверіне қарсы сертификатты тексеруде сәтсіздікке ұшырауы мүмкін, ал портал дұрыс болса, бұл сертификат мәселесі, протокол мәселесі емес.

Туннель пайда болмай тұрып көрінетін қателер

800 сериялы кодтар кез келген туннель орнатылмай тұрып хабарланады, сондықтан желілік қалқан ережелері оларды сирек жылжытады. 812 қатесі клиент ұсынған аутентификация әдісін қабылдамайтын сервер жағындағы саясат. Ауқымдағы қалғандары желіден емес, жергілікті қосылым менеджерінен келеді.

Бірдеңені қайта құрмас бұрын түбіртек жазуын қосыңыз. Түбіртек сәтсіз кезеңді атайды, ал кезең атауы диалог мәтінінен қымбат:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Түбіртектер түбіртек қалтасының астына түседі және сіз оларды тазаламайынша сонда қалады, сондықтан кейін оны өшіріңіз, апталар бойы қосылып тұрмасын.

Қосылған профиль бәрін бұзуы мүмкін

Қосылып, содан кейін шолуды, жергілікті ортақтастыруды немесе контейнер қозғалтқышын бұзатын профильде маршруттау мәселесі бар, туннель мәселесі емес. Әдепкі шлюз туннельге көшті, сондықтан әр тағайындалу енді оны маршруттамауы мүмкін серіктес арқылы өтеді.

Мұны екі басқару шешеді. Бірі — профильдегі split tunneling қасиеті. Екіншісі — қашықтағы желіде әдепкі шлюзді пайдалану үшін әр бейімдегішке арналған опция, ол IPv4 қосымша параметрлерінде тұр.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Маршруттар қоспай split tunneling қосу қосылатын, бірақ еш жерге жетпейтін туннель береді. Оны DNS тексермей өшіру ішкі атауларды жалпыға ортақ жауаптарға айналдырады, себебі бейімдегіштің өз суффиксі мен серверлері пайдаланылмайды.

Алдымен құбыржолды, содан кейін түрін тексеріңіз

Осы ретпен жұмыс істеңіз, және бәрін бірден реттеудің орнына қадам сәтсіз болса тоқтаңыз:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Бірінші команда қолжетімділікті протоколдан бөледі. Екіншісі профиль өзін қалай таныстыратынын растайды. Маршрут кестесі туннельдің әдепкі маршрутты ұстағанын көрсетеді. Теру командасы қосылым менеджерінің өз қатесін хабарлайды, ол көбіне диалогтан анығырақ.

Тикетте туннель түрін, шлюз өнімін және нақты қатені жазып қойыңыз. Сонда келесі адам бір минутта бұл протокол сәйкессіздігі ме, сертификат ақауы ма әлде маршруттау шешімі ме екенін біледі, «VPN жұмыс істемейді» деп бастаудың орнына.