Windows NAT-T регистр мәні: алдымен топологияны тексеріңіз

Windows VPN қосылымы сәтсіз аяқталады, іздеу регистр мәнін қайтарады және бұл мән қайта жүктеумен бірге енгізіледі. Бұл реттілік кейде жұмыс істейді және ешқашан ештеңені түсіндірмейді. Сөз болып отырған параметр сервердің NAT құрылғысына қатысты қайда орналасқаны туралы бір сұраққа жауап береді және қай протокол қай кезеңде сәтсіз аяқталғанын білмейінше мағынасыз.

Мән шын мәнінде нені таңдайды

AssumeUDPEncapsulationContextOnSendRule Windows IPsec іске асыруының NAT құрылғысының артындағы серіктеспен ассоциация құруға әрекет ететінін анықтайды. Құжатталған әдепкі 0 бұл жағдайға рұқсат бермейді, 1 сервер NAT артындағы жақ болғанда рұқсат береді, ал 2 екі шеттің де түрлендірілуін қамтиды. Бұлар кім қайда деген топологиялық тұжырымдар.

Реттілік ретінде оқысақ, сандар барған сайын көбірек сенімділікті емес, барған сайын көбірек түрлендіруді сипаттайды. Ештеңе түрлендірілмейтін желіде 2 мәнін қою қосылымды жылдамырақ немесе тұрақтырақ етпейді және аутентификация қатесін түзетпейді. Microsoft-тың L2TP/IPsec үшін NAT нұсқаулығы саясатты және оның тарихи платформалық контекстін құжаттайды. Бұл контексті нақты іске қосып отырған Windows нұсқасымен және рөлімен салыстырыңыз, өйткені бірнеше шығарылымнан өткен құжат әрбір ағымдағы build туралы тұжырым емес.

Саннан бұрын топологияны сәйкестендіріңіз

Жолды сызып, түрлендіру нүктелерін белгілеңіз: клиент үй роутерінің артында ма, сервер жүктеме теңгерушісінің немесе мекенжайларды қайта жазатын firewall-дың артында ма, және шеттердің бірі сіз басқармайтын оператор түрлендіруінің артында ма. Осы суреттен кейін ғана мәннің қолданылатынын және қай шетке қолданылатынын шеше аласыз.

Ағымдағы Windows Server нұсқалары NAT traversal өшірілген күйде жай ғана жеткізіледі деген тұжырым әрекет ету үшін тым кең. Маңыздысы — жүйеңіздегі саясат, оның алдындағы топология және сәтсіз аяқталған алмасу, осы ретпен. Екі шеттің де жария мекенжайы болса, параметр сіздің мәселеңіз емес. Оның орнына ұсынысқа, сертификатқа немесе тіркелгіге қараңыз да, регистрді тыныш қалдырыңыз.

Алдымен қате кезеңін тексеріңіз

L2TP/IPsec кемінде үш түрлі қате береді: серіктеске жету мүмкін емес, IPsec қорғанысын орнату мүмкін емес, және PPP пайдаланушысының аутентификациясы туннель пайда болғаннан кейін қабылданбайды. Қабылданбаған тіркелгіні NAT саясатын өзгертумен түзету мүмкін емес, ал ұсыныстардың сәйкессіздігін қайта жүктеумен түзету мүмкін емес.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Жауап берушісіз таймаут саясаттан гөрі қолжетімділікке немесе сүзгілеуге меңзейді. Ұсыныс хабарламасымен жылдам бас тарту алгоритмдерге меңзейді. Туннель көтерілгеннен кейінгі қате аутентификация кезеңіне жатады, бұл басқа ие және басқа шешім.

HTTPS үстіндегі SSTP және табиғи IKEv2 өз журналдары мен өз басқаруларына ие. Олардың ешқайсысы Windows-та да жұмыс істейтіндіктен ғана NAT-traversal жағдайына айналмайды.

Өзгерісті қайту жолымен жасаңыз

Егер құжатталған саясат пен байқалған топология екеуі де талап етсе, алдыңғы мәнді жазып алыңыз, өзгерісті әр профильге арналған скрипт емес, басқарылатын конфигурация арқылы қолданыңыз және қайта жүктеуді жоспарлаңыз. Басқа жұмыс жүктемелерін қолдайтын серверде бұл зиянсыз өңдеу емес.

NAT құрылғысы әлі де инкапсуляцияланған тасымалды және қайтарым трафигін тасымалдауы керек. Регистр мәні ешқандай бағыттау ережесін жасамайды, ұсыныстарды теңестірмейді және ешбір сәйкестікті растамайды, сондықтан өзгерістен кейін жұмыс істей бастаған қосылым мүлде басқа себеппен жұмыс істеуі мүмкін. Бастапқы протоколды бастапқы топологиямен қайта сынап көріңіз, содан кейін қай кезең сәтсіз аяқталғанын және мән неліктен оны шешуі керек болғанын жазыңыз. Дәл осы сөйлем интернет өсек-аяңын қорғауға болатын конфигурацияға айналдырады.