Кирүүчү туннель кайсы RRAS сайт интерфейсин тандайт?
RRAS кирүүчү сайт интерфейсин өнөктөштүн дареги, колдонуучунун аты же сертификаттын субъектиси боюнча тандайт, ошондуктан бул ачкычты анын күйгүзүлгөн жана туташкан абалдарынан өзүнчө окуңуз.
Бир нече сайт-сайт интерфейси бар Windows серверинде консолдогу белги адамдар үчүн гана эскертүү эмес. RRAS кирүүчү туташуудан белгилүү бир талааны кайсы логикалык интерфейс жооп берерин чечүү үчүн колдонот, жана бул талаа аутентификация ыкмасына жараша өзгөрөт. Ачкычты туура эмес алсаңыз, бир нерсе кокустан туташканга чейин интерфейстердин атын өзгөртөсүз. Тандоо эрежеси, административдик абал жана сессия абалы үч өзүнчө факт, жана алардын бири гана ат коюуга тиешелүү.
Уламыш: аты өзгөртүлгөн интерфейс баарына дал келет
Филиал туташа албаган учурдагы азгырма чечим — чалуучуга окшош болгонго чейин сайт интерфейсин түзүү же атын өзгөртүү. Бул бир аутентификация ыкмасы үчүн иштейт, ал эми калгандары үчүн үнсүз ишке ашпайт, ошондуктан ошол эле жол-жобо карама-каршы жыйынтыктар менен тарайт. Сайт интерфейси — өз максаты, корголгон префикстери жана абалы бар логикалык туташуу объектиси. Ал шифрленген пакеттерди ташыган физикалык адаптер эмес, ошондуктан тармактык адаптерлерди кароо кайсы сайт объектиси тандалганын айтпайт.
Тандоонун кадимки алыскы кирүү колдонуучуларына да тиешеси жок. Эгер кызматкерлердин VPN кардарлары чалса, алардын ролу башка, жана алардын колдонуучу аттары бул салыштырууга эч качан катышпайт. Тааныш аттан бир нерсе окуудан мурун чалуучунун кайсы ролго таандык экенин ырастаңыз.
Аутентификациянын үч формасы, тандоонун үч ачкычы
Алдын ала бөлүшүлгөн ачкыч менен интерфейстин конфигурацияланган максат дареги кирүүчү өнөктөштүн дареги менен салыштырылат. Белги каалаган нерсе болушу мүмкүн, анткени чечимди дарек ташыйт. Колдонуучунун атына негизделген аутентификацияда интерфейстин аты чалуучу сунуштаган колдонуучунун аты менен салыштырылат. Бул жерде белги — ачкычтын өзү, жана атты өзгөртүү бир сайтты оңдоп, экинчисин бузгандай көрүнүшүнүн так себеби ушул.
Сертификаттар менен интерфейстин аты сунушталган сертификаттагы субъект аты менен салыштырылат. Ат ошол субъектиге дал келиши керек, ал эми оператор ойлоп тапкан кооз белги жарабайт.
Бул жерден эки кесепет келип чыгат. Алдын ала бөлүшүлгөн ачкыч схемасында белгиленген максат үчүн бир гана интерфейс күйгүзүлүшү мүмкүн, ошондуктан бир байкалган коомдук даректи бөлүшкөн эки филиалдын экөөнө тең кайталанган жазуулар менен кызмат көрсөтүү мүмкүн эмес. Жана консол эмнени сунуштаса да, иш жүзүндө конфигурациялаган ыкма колдонот.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Күйгүзүлгөн туташкан дегенди билдирбейт
Административдик статус логикалык интерфейстин иштөөгө уруксаты бар-жогун айтат. Туташуу абалы азыр сессия бар-жогун айтат. Сессиясыз күйгүзүлгөн интерфейс талап боюнча терүүчү линия үчүн кадимки тынч абал, жана аны бузулуу деп билдирүү адамдарды жок үзгүлтүктүн артынан жиберет.
Аталган издөөнү же документтелген маршруттоо домени боюнча издөөнү колдонуңуз, бирок эки параметрди бирге эмес, жана аны көздөлгөн сервер контекстинде иштетиңиз. Күткөн интерфейс биринчи тизмеде жок болсо, маселе абалдан мурун: такыр эч нерсе тандалган эмес.
Жупту өзүнчө эмес, бирге окуңуз. Орнотулган бойдон калышы керек жана үзүлгөн болуп көрүнгөн байланыш иликтөөгө татыктуу, ал эми талап боюнча туташкан бош байланыш долбоордогудай иштейт. Ошол эле учурда административдик өчүрүлгөн интерфейс каршы тарап маршрутизаторун канча жолу кайра жүктөсө да караңгы бойдон калат.
Эки маанинин экөө тең аутентификациянын ийгиликтүү өткөнүн, келишилген коргоонун дал келгенин, маршруттардын орнотулганын же жеке колдонмого уруксат берилгенин далилдебейт. Бул төрт башка суроо жана төрт башка жооп.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateБир нерсени күйгүзүүдөн мурун инсандык транзакцияны окуңуз
Кирүүчү чалуучу күтпөгөн интерфейске салыштырылганда, пайдалуу далил — өчүрүлгөн интерфейстердин тизмеси эмес, ал сунуштаган инсандык. Акыркы алыскы кирүү окуяларын алып, чалуучунун дарегин, аутентификациянын жыйынтыгын жана тандалган интерфейстин атын окуңуз. Өчүрүлгөн интерфейс атайын пенсияга чыгарылган сайт же тыюу салынган өнөктөш болушу мүмкүн. Бир кирүү катасы жоюлат-жоюлбайт деп аны күйгүзүү — маршруттоо жана кирүү кесепеттери бар конфигурация өзгөртүүсү, ошондуктан чечимди ошол сайт мамилесинин ээси аркылуу өткөрүңүз, анын максаты, корголгон префикстери жана саясаты менен бирге.
Эгер салыштыруу чын эле туура эмес болсо, симптомду эмес, ачкычты оңдоңуз: сертификаттын субъектисин же колдонуучунун аты учурда интерфейстин атын, ал эми алдын ала бөлүшүлгөн ачкыч учурда максатты оңдоңуз. Анан бир жолу кайра туташып, ошол эле чалуучу азыр көздөлгөн объектини тандап жатканын ырастаңыз.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Циклди уруксат берилген операция менен жабыңыз
Жашыл абал кабыл алуу эмес. Туура интерфейс тандалгандан кийин, долбоор уруксат берген трафикти бир корголгон префикстин хостунан экинчисинин хостуна жаратыңыз жана жооп ошол эле жол менен кайтканын ырастаңыз. Ошол эле аракетти четке кагылышы керек болгон хосттон да аткарыңыз, төмөнкүнү колдонуп Test-NetConnection -ComputerName 10.44.2.10 -Port 445 долбоор четтеткен кызматка каршы, жана алыскы кирүү окуяларын кайра окуңуз. Өзүнүн көздөлгөн префикстеринен көбүрөөк ташыган же саясат четтеткен кызматка жооп берген сайт линиясы — абал текшерүүсүнүн эч бири ачпаган маршруттоо катасы.
Аутентификация ыкмасын, тандоо ачкычын жана уруксат берилген префикстерди бирге сайттын иштетүү колдонмосуна жазыңыз. Кийинки инженер ошол эле үч маанилүү таблицага туш болот, жана ат коюу конвенциясы ошол контекст жазылганда гана мааниге ээ.