Wéi eng RRAS-Site-Interface wielt en agehenden Tunnel?
RRAS wielt eng agehend Site-Interface no der Peer-Adress, dem Benotzernumm oder dem Sujet vum Zertifikat, duerfir liest dëse Schlëssel getrennt vun sengen aktivéierten a verbonnenen Zoustanden.
Op engem Windows-Server mat méi Site-zu-Site-Interfacen ass eng Konsol-Etikett net just eng Notiz fir Mënschen. RRAS benotzt e bestëmmt Feld aus der agehender Verbindung fir ze entscheeden, wéi eng logesch Interface äntwert, an dat Feld ännert sech mat der Authentifikatiounsmethod. Wann Dir de Schlëssel verkéiert hëlt, wäert Dir Interfacen ëmbenennen, bis eppes duerch Gléck verbënnt. D'Auswielregel, den administrativen Zoustand an den Zoustand vun der Sessioun sinn dräi getrennt Tatsaachen, a just eng dovun handelt vum Numm.
De Mythos: eng ëmbenannte Interface passt zu allem
Déi verlockend Korrektur, wann eng Filial sech net verbënnt, ass eng Site-Interface unzeleeën oder ëmzebenennen, bis se dem Uruffer gläicht. Dat funktionéiert fir eng Authentifikatiounsmethod a versot stël bis aneren, dofir gëtt déiselwecht Prozedur mat widerspréchlechen Resultater weiderginn. Eng Site-Interface ass en logesche Verbindungsobjekt mat sengem eegenen Destination, geschützte Prefixen an Zoustand. Et ass net deen physeschen Adapter, deen déi verschlësselt Pakete dréit, dofir seet e Bléck op Netzwierkadapter Iech näischt doriwwer, wéi ee Site-Objekt ausgewielt gouf.
D'Auswiel huet och näischt mat gewéinlechen Fernzougrëffsbenotzer ze dinn. Wa VPN-Cliente vun Mataarbechter uruffen, hunn se eng aner Roll, a si hiren Benotzernumm hëlt ni un dëser Zesummestellung deel. Bestätegt, zu wéi enger Roll den Uruffer gehéiert, ier Dir eppes an en vertrauten Numm eralest.
Dräi Authentifikatiounsformen, dräi Auswielschlësselen
Mat engem viru gedeelte Schlëssel gëtt déi konfiguréiert Destination-Adress vun der Interface mat der Adress vum agehenden Peer verglach. D'Etikett ka wat och ëmmer sinn, well d'Adress déi Entscheedung dréit. Bei der Authentifikatioun iwwer Benotzernumm gëtt den Numm vun der Interface mat dem Benotzernumm verglach, deen den Uruffer presentéiert. Hei ass d'Etikett de Schlëssel, an dat ass genee firwat eng Ëmbenennung engem Site schéngt ze hëllefen an een aneren ze briechen.
Mat Zertifikater gëtt den Numm vun der Interface mat dem Sujetsnumm am presentéierten Zertifikat verglach. Den Numm muss deem Sujet entspriechen, an eng schéin Etikett, déi en Bedreiwer sech ausdenkt, geet net.
Zwee Konsequenze follegen. An der Opstellung mat viru gedeelte Schlëssel kann just eng Interface fir eng bestëmmt Destination aktivéiert sinn, dofir kënnen zwou Filialen, déi eng observéiert ëffentlech Adress deelen, net béid iwwer duebel Asätz zerwéiert ginn. An et gëllt déi Method, déi Dir tatsächlech konfiguréiert hutt, egal wat d'Konsole virschléit.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Aktivéiert ass net verbonnen
Den administrativen Zoustand seet, ob déi logesch Interface däerf schaffen. Den Zoustand vun der Verbindung seet, ob elo eng Sessioun existéiert. Eng aktivéiert Interface ouni Sessioun ass en normale Rouzoustand fir eng Verbindung op Ufro, an se als Stéierung ze mellen schéckt Leit engem Ënnerbroch no, deen et net gëtt.
Benotzt eng genannt Sich oder déi dokumentéiert Sich am Routing-Domän, awer net béid Parameter mateneen, a fuerdert se am virgesinnene Server-Kontext aus. Wann d'Interface, déi Dir erwaart, an der éischter Lëscht feelt, läit de Problem virum Zoustand: et gouf iwwerhaapt näischt ausgewielt.
Liest d'Paar zesummen an net getrennt. Eng Verbindung, déi soll etabléiert bleiwen an als getrennt weist, verdéngt eng Enquête, während eng idel Verbindung op Ufro, déi sech bei Bedarf verbënnt, sech wéi designéiert behält. Tëschentdeem bleift eng administrativ deaktivéiert Interface däischter, egal wéi oft déi aner Säit hire Router nei startet.
Keen vun deenen zwee Wäerter beweist, datt d'Authentifikatioun gelungen ass, datt de verhandelte Schutz iwwereneemmt, datt Route installéiert goufen oder datt déi privat Applikatioun erlaabt ass. Dat sinn véier verschidde Froen mat véier verschiddene Äntwerten.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLiest d'Identitéitstransaktioun, ier Dir eppes aktivéiert
Wann en agehenden Uruffer op eng Interface gemappt gëtt, déi Dir net erwaart hutt, ass dee nëtzlechen Nowäis d'Identitéit, déi en presentéiert huet, net d'Lëscht vun den deaktivéierten Interfacen. Zitt déi rezent Fernzougrëffs-Evenementer eraus a liest d'Adress vum Uruffer, d'Resultat vun der Authentifikatioun an den Numm vun der ausgewielter Interface. Eng deaktivéiert Interface ka en absichtlech pensionéierte Site oder e verbuedene Partner sinn. Se ze aktivéieren, fir ze gesinn, ob ee Login-Fehler verschwënnt, ass eng Konfiguratiounsännerung mat Konsequenze fir Routing an Zougrëff, dofir leet d'Entscheedung iwwer den Eegentemer vun där Site-Bezéiung, zesumme mat sengem Destination, geschützte Prefixen a Politik.
Wann d'Zesummestellung wierklech falsch ass, korrigéiert de Schlëssel an net de Symptom: korrigéiert de Sujet vum Zertifikat oder am Fall vum Benotzernumm den Numm vun der Interface, an am Fall vum viru gedeelte Schlëssel den Destination. Da verbënnt eng Kéier nei a bestätegt, datt dee selwechten Uruffer elo dat virgesinn Objekt auswielt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Schléisst de Krees mat enger erlaabter Operatioun
E gréngen Zoustand ass keng Akzeptanz. Soubal déi richteg Interface ausgewielt ass, generéiert Traffic, deen den Design erlaabt, vun engem Host an engem geschützte Prefix op en Host am aneren, a bestätegt, datt d'Äntwert iwwer dee selwechte Wee zréckkënnt. Fuerdert déiselwecht Versuch vun engem Host aus, dee soll refuséiert ginn, andeems Dir Test-NetConnection -ComputerName 10.44.2.10 -Port 445 géint en Service benotzt, deen den Design ausschléisst, a liest d'Fernzougrëffs-Evenementer nach eng Kéier. Eng Site-Verbindung, déi méi wéi hir virgesinn Prefixen dréit oder fir en Service äntwert, deen d'Politik ausschléisst, ass e Routing-Fehler, deen keng Zoustandsprüfung opdeckt.
Halt d'Authentifikatiounsmethod, de Auswielschlëssel an déi erlaabt Prefixen zesummen am Betribshandbuch vum Site fest. Den nächsten Ingenieur begéint déiselwecht Tabell mat dräi Wäerter, an d'Nimmkonventioun mécht just Sënn, wann dee Kontext opgeschriwwe steet.