Windows’тун курулма VPN’и жеткирүүчүнүн SSL шлюзуна жетпейт: себеби

Windows менен төрт түрдөгү туннель келет, ал эми жеткирүүчүнүн SSL шлюзу алардын бири эмес. Ошентсе да курулма профилди ушундай шлюзга багыттасаңыз, байланыш каттоо маалыматтары суралганга чейин эле үзүлөт, адатта байланышты жергиликтүү система токтотту деген билдирүү менен. Бул текст шайкешсиздиктин белгиси, диагноз эмес. Профилдин түрү жана протоколго ээ кардар дал келиши керек, ал эми алардын бири жок.

Төрт түр жана бир диалог

Ар бир сакталган профиль туннелдин түрүн алып жүрөт. Курулма кардар PPTP, L2TP, IKEv2 жана SSTP кабыл алат, ошондой эле аларды ирети менен сынаган автоматтык режим бар. Жалпы SSL VPN жазуусу жок, аны диалог аркылуу кошуу жолу да жок. Жеткирүүчүнүн шлюзу TLS үстүндө өзүнүн колдонмо протоколун сүйлөйт, аны тек ошол жеткирүүчүнүн кардары ишке ашырат.

Тизме бир буйрук алыстыкта, жана аны кандайдыр бир башка мүчүлүштүктү издөөдөн мурун иштетүү пайдалуу, анткени ал бир секунд алат жана туура эмес божомолдордун бүтүндөй классын жок кылат:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Эгер профиль SSTP десе, ал эми шлюз RRAS сервери болбосо, шайкешсиздик мурунтан аныкталган. Сертификат же тармактык калканын иши аны өзгөртпөйт.

SSTP менен жеткирүүчүнүн TLS 443 портунда окшош көрүнөт

SSTP PPP сессиясын TLS ичине ороп, TCP 443 боюнча жүрөт. Microsoft стегинде аны RRAS бүтүрөт, ал кардар текшерген сервер сертификатын көрсөтөт. Fortinet, Citrix же Pulse түзмөгү да 443тө TLSди бүтүрөт, ал эми анын порталы каалаган браузерде кайгысыз ачылат.

Бул браузер сынагы жеткиликтүүлүктү далилдейт, шайкештикти эмес. Порталдын артындагы сессия протоколу жеткирүүчүгө таандык, ал эми курулма кардарда анын эч кандай ишке ашырылышы жок. Жеткирүүчү өз кардарын сунуштайбы, бул сиздин шайкешсиздиктин кайсы жарымы менен иштеп жатканыңызды көрсөтөт.

Тескери чаташуу да болот. SSTP катары жөндөлгөн профиль чыныгы RRAS серверине каршы сертификатты текшерүүдө ийгиликсиз болушу мүмкүн, портал жакшы болсо да, бул сертификат маселеси, протокол маселеси эмес.

Туннель пайда боло электе көрүнгөн каталар

800 сериясындагы коддор кандайдыр бир туннель орнотулганга чейин билдирилет, ошондуктан тармактык калкан эрежелери аларды сейрек жылдырат. 812 катасы кардар сунуштаган аутентификация ыкмасын четке каккан сервер тараптагы саясат. Диапазондогу калгандары тармактан эмес, жергиликтүү туташуу менеджеринен келет.

Бир нерсени кайра куруудан мурун изилдөөнү күйгүзүңүз. Изилдөө ийгиликсиз болгон этапты атайт, ал эми этаптын аталышы диалогдун текстинен кымбат:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Изилдөөлөр изилдөө папкасынын астына түшөт жана сиз аларды тазаламайынча ошол жерде калат, ошондуктан кийин изилдөөнү өчүрүңүз, жума бою күйүк туруп калбасын.

Туташкан профиль баарын буза алат

Туташып, анан серептөөнү, жергиликтүү бөлүшүүнү же контейнер кыймылдаткычын бузган профилде маршруттоо маселеси бар, туннель маселеси эмес. Демейки шлюз туннелге өттү, ошондуктан ар бир барар жер эми аны маршруттабашы мүмкүн болгон өнөктөш аркылуу өтөт.

Муну эки башкаруу чечет. Бири — профилдеги split tunneling касиети. Экинчиси — алыскы тармакта демейки шлюзду колдонуу үчүн ар бир адаптерге берилген параметр, ал IPv4түн кошумча жөндөөлөрүндө турат.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Маршруттарды кошпой split tunneling күйгүзсөңүз, туташкан, бирок эч жерге жетпеген туннель пайда болот. Аны DNS текшербей өчүрсөңүз, ички аттар жалпыга ачык жоопторго айланат, анткени адаптердин өзүнүн суффикси жана серверлери колдонулбайт.

Алгач түтүкчөлөрдү, анан түрүн текшерите

Ушул тартипте иштеңиз, жана баарын бир убакта жөндөөнүн ордуна кадам ийгиликсиз болгондо токтоңуз:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Биринчи буйрук жеткиликтүүлүктү протоколдон бөлөт. Экинчиси профилдин өзүн эмне деп жарыялаганын ырастайт. Маршрут таблицасы туннель демейки маршрутту кармаганын көрсөтөт. Чалуу буйругу туташуу менеджеринин өз катасын билдирет, ал көбүнчө диалогдон аныгыраак.

Тикетке туннелдин түрүн, шлюздун продуктусун жана так катаны жазып коюңуз. Андан кийин кийинки адам бир мүнөттүн ичинде бул протокол шайкешсиздигиби, сертификат ийгиликсиздигиби же маршруттоо чечимиби экенин билет, «VPN иштебейт» деп баштоонун ордуна.