Windows VPN дарегинин талаасындагы порт SSTP менен гана иштейт

VPN сервери TCP 10443 портунда жооп берет, Windows’тун ичине орнотулган кардары туура эсеп маалыматтарына ээ, бирок туташуу DNS убактысы бүткөнгө окшош тыныгуудан кийин да үзүлөт. Себеби адатта дарегинин талаасында: vpn.example.com:10443 жазуусун Сервердин аталышы же дарек талаасына киргизгенде Windows бүт сапты хост аталышы катары окуйт, анткени бул талаа жалпы host:port киргизүү талаасы эмес. Портту ал жерде жалпы түрдө көрсөтүүгө болобу, ал профиль колдонгон туннелдин түрүнө көз каранды, ал эми төрт түрдүн бирөө гана маанини талдай алган нерсе катары кабыл алат.

Эмне үчүн дарегинин талаасы host:port талаасы эмес

Бул талаанын артындагы профиль касиети ServerAddress, жана ар бир туннель түрү сап менен эмне кыларын өзү чечет. Алардын үчөөндө толтуруучу порт параметри жок, ошондуктан эки чекит жана сан эч качан чечилбеген аттагы белгилер гана. Төртүнчүсү HTTPS аркылуу иштейт, анда порт URL’дун бөлүгү болуп саналат, ошондуктан маани URL катары талданган формада жазылышы керек.

Ошондуктан бузулуу аттарды чечүүгө окшош, баш тартылган туташууга эмес. Кабарлоочу жаман порт жок, жок болгон хост аталышы гана бар, ал эми ката чечүүчү баш тарткандан кийин келет. Серверге тийүүдөн мурун профиль кайсы туннель түрүн колдонорун текшериңиз.

Туруктуу порту бар үч түр

PPTP TCP 1723 портуна туташат, анан туннелди GRE, IP протоколу 47 ичинде алып жүрөт. L2TP/IPsec туннел үчүн UDP 1701, IPsec үчүн UDP 500 жана 4500 колдонот, 4500 - NAT аркылуу өтүү порту. IKEv2 да UDP 500 жана 4500 колдонот. Бул профилдердин эч бири интерфейстин эч бир жеринде порт талаасын көрсөтпөйт жана эч бири стандарттык эмес порт боюнча келишпейт.

Ыңгайлаштырылган портто угуучу сервер ошондуктан дарек кантип жазылбасын, бул профилдер үчүн жеткиликсиз. Практикалык жооптор тар: стандарттык портту серверде жарыялаңыз же стандарттык портту анын алдындагы маршрутизатордо ыңгайлаштырылган портко которуңуз. Экөө тең кардар профилин тийбеген бойдон калтырат, бул профиль кол менен киргизилбестен, саясат аркылуу таратылганда баалуу.

SSTP URL талап кылат, ат эмес

SSTP өзгөчөлүк, анткени ал TLS сессиясынын ичинде иштейт. Талаа URL катары талданышы керек: адегенде https:// схемасы, анан хост, анан эки чекит жана порт. Схемасыз Windows маанини жөнөкөй ат катары кароону улантат жана туташуу кандайдыр бир TLS алмашууга чейин үзүлөт.

Мунун адамдарды таң калтырган себеби - демейки порт жылаңач хост аталышын кабыл алат. Ыңгайлаштырылган порт эч качан керек болбогон профиль бул эрежени эч качан үйрөтпөйт, ал эми аны биринчи кошкон адам ийгиликсиздик аркылуу билет. Сактагандан кийин диалогго ишенүүнүн ордуна сакталган маанини кайра окуңуз:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress так сакталганды көрсөтөт. Эгерде ал эки чекити бар жылаңач хост аталышы катары окулса, профиль эч качан URL алган эмес жана канча жолу кайталаса да бул оңдолбойт.

Ошол эле талаага жабыштырылуучу өндүрүүчүнүн синтаксиси

Кээ бир шлюздар бул талаа үчүн кошумча конвенцияларды документтештирет, мисалы порттон кийин кошулган realm же сертификаттарды иштетүүнү өзгөрткөн суроо параметрлери. Аларды ошол өндүрүүчүнүн сервери жана кээ бир курулуштарда өзүнүн кардары түшүнөт. Алар Windows профиль форматынын бөлүгү эмес, ал эми аларды ичине орнотулган профилге жабыштыруу адатта ошол эле тынч ат катасын жаратат.

Сертификатты текшерүүнү өчүргөн параметрди оңдоо эмес, эскертүү катары караңыз. Эгерде профиль ушул параметр менен гана туташса, сертификат колдонулган атка туура келбейт, ал эми туура оңдоо кардарда эмес, шлюзда болот. Порттон кийинки realm да ушундай касиетке ээ: ал каршы тараптагы сервер аны күтсө гана бир нерсе кылат.

Портту далилдеңиз, анан ийгиликсиз баскычты окуңуз

Профилди күнөөлөөдөн мурун кардардын тармагынан бул портто TCP’ни бир нерсе кабыл аларын ырастаңыз:

Test-NetConnection vpn.example.com -Port 10443

Ийгилик угуучуну далилдейт, SSTP’ни эмес. Веб-сервер, тескери прокси же жүктү теңдештиргич TCP кол алышуусун бүтүрүп, баары бир SSTP сүйлөбөшү мүмкүн, ошондуктан жашыл тест жана кызыл VPN чыныгы айкалыш. Сертификаттын субъектин профилдеги ат менен салыштырыңыз жана аны камтыган курулуштарда RasClient журналын текшериңиз, анткени ал жалпы убакыт бүтүшүнүн ордуна ийгиликсиз болгон баскычты жазат.

Анан маселени документтештирүүнүн ордуна жок кылган вариантты карап көрүңүз: сырттан TCP 443 портун VPN сервериндеги 10443 портуна багыттаңыз. Ошондо кардар эч кандай портсуз демейки профилди колдонот, бул адатта башкарылуучу парк үчүн эң таза жайгаштыруу жана ыңгайлаштырылган портту ички деталь катары калтырат.