En Port am Adressfeld vum Windows VPN funktionéiert nëmme mat SSTP

E VPN-Server äntwert op TCP 10443, den agebaute Windows-Client huet déi richteg Umeldungsinformatiounen, an d’Verbindung stierft trotzdem no enger Paus, déi wéi en DNS-Timeout ausgesäit. D’Ursaach ass meeschtens d’Adressfeld: wann een vpn.example.com:10443 an Servernumm oder Adress antippt, liest Windows déi ganz Zeecheketten als Hostnumm, well dës Këscht keng allgemeng host:port-Agab ass. Ob eng Port do iwwerhaapt ausgedréckt ka ginn, hängt vum Tunneltyp of, deen de Profil benotzt, a just ee vun de véier Typpe behandelt de Wäert als eppes, wat hien analyséiere kann.

Firwat d’Adressfeld keng host:port-Këscht ass

D’Profilseigenschaft hannert dëser Këscht ass ServerAddress, an all Tunneltyp entscheet, wat hien mat der Zeechekett mécht. Dräi vun hinnen hu keng Portparameter ze fëllen, also sinn en Doppelpunkt an eng Zuel just Zeechen an engem Numm, deen ni opgeléist gëtt. Den véierten leeft iwwer HTTPS, wou eng Port Deel vun der URL ass, also muss de Wäert an enger Form geschriwwe ginn, déi als URL analyséiert gëtt.

Dofir gesäit de Feeler wéi eng Nummopléisung aus an net wéi eng ofgeleent Verbindung. Et gëtt keng schlecht Port ze mellen, just en Hostnumm, deen et net gëtt, an de Feeler kënnt nodeems de Resolver opgëtt. Ier Dir de Server beréiert, kontrolléiert wéi en Tunneltyp de Profil behaapt ze benotzen.

Déi dräi Typpe mat enger fester Port

PPTP verbënnt sech mat TCP 1723 an dréit den Tunnel duerno an GRE, IP-Protokoll 47. L2TP/IPsec benotzt UDP 1701 fir den Tunnel an UDP 500 plus 4500 fir IPsec, woubäi 4500 d’NAT-Traversal-Port ass. IKEv2 benotzt och UDP 500 an 4500. Keen vun dëse Profilen weist iergendwou an der Interface eng Portfeld, a keen handelt eng net-Standard-Port aus.

En Server, deen op enger eegener Port lauschtert, ass fir déi Profilen dowéinst onereechbar, egal wéi d’Adress geschriwwe gëtt. Déi praktesch Äntwerten sinn enk: verëffentlecht d’Standardport um Server, oder iwwersetzt d’Standardport op déi eegen um Router virun him. Béides léisst de Clientprofil onberéiert, wat vill wäert ass, wann de Profil iwwer Politik ausgerullt gëtt an net vun Hand getippt.

SSTP brauch eng URL, keen Numm

SSTP ass d’Ausnam, well et an enger TLS-Sessioun leeft. D’Feld muss als URL analyséiert ginn: fir d’éischt den https://-Schema, duerno den Host, duerno en Doppelpunkt an d’Port. Ouni de Schema behandelt Windows de Wäert weider als einfachen Numm an d’Verbindung feelt, ier iergendeen TLS-Austausch geschitt.

De Grond, firwat dat d’Leit iwwerrascht, ass datt d’Standardport den nackten Hostnumm akzeptéiert. E Profil, deen ni eng eegen Port gebraucht huet, léiert d’Reegel ni, an déi éischt Persoun, déi eng dobäisetzt, entdeckt se duerch Feelen. Nodeems Dir gespäichert hutt, liest de gespäicherte Wäert zréck, amplaz dem Dialog ze vertrauen:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress weist genee dat, wat gespäichert gouf. Wann et als nackten Hostnumm mat engem Doppelpunkt dran gelies gëtt, huet de Profil ni eng URL kritt an et wäert keng Widderhuelung et reparéieren.

Hierstellersyntax, déi an déiselwecht Këscht ageklemmt gëtt

E puer Gateways dokumentéieren zousätzlech Konventiounen fir dat Feld, wéi en Realm, deen no der Port ugehaange gëtt, oder Query-Parameter, déi d’Zertifikatsbehandlung änneren. Si gi vum Server vun deem Hiersteller an, a munche Builden, vun sengem eegene Client verstanen. Si sinn net Deel vum Windows-Profilformat, an se an en agebaute Profil ze klappen ergëtt meeschtens déiselwecht stomm Nummfeeler.

Behandelt en Parameter, deen d’Zertifikatsvalidéierung desaktivéiert, als Warnung an net als Reparatur. Wann e Profil just mat deem Parameter verbënnt, passt d’Zertifikat net zum benotzten Numm, an déi richteg Reparatur ass um Gateway, net am Client. En Realm no der Port huet déiselwecht Eigenschaft: hie mécht eppes just, wann de Server op der anerer Säit en erwaart.

Beweist d’Port, liest dann déi feelend Etapp

Bestätegt, datt eppes TCP op där Port aus dem Netzwierk vum Client akzeptéiert, ier Dir de Profil beschëllegt:

Test-NetConnection vpn.example.com -Port 10443

Erfolleg beweist en Nolauschterer, net SSTP. E Webserver, en ëmgedréite Proxy oder e Load Balancer kënnen den TCP-Handshake ofschléissen an trotzdem keen SSTP schwätzen, also ass en gréngen Test mat enger rouder VPN eng richteg Kombinatioun. Vergläicht de Sujet vum Zertifikat mam Numm am Profil, a kontrolléiert de RasClient-Log an de Builden, déi en enthalen, well en d’Etapp notéiert, déi gefeelt huet, amplaz enger allgemenger Timeout.

Betruecht duerno d’Optioun, déi de Problem ewechhëlt amplaz en ze dokumentéieren: leet TCP 443 vun dobausse weider op 10443 um VPN-Server. De Client benotzt dann de Standardprofil ouni iergendeng Port, wat meeschtens déi propperst Arrangement fir eng geréiert Flott ass an déi eegen Port als intern Detail léisst.