De Windows-VPN aus dem System erreecht keen SSL-Gateway vun engem Hiersteller: firwat

Windows bréngt véier Tunnelltypen mat, an en Hierstellergateway ass keen dovun. Richt awer en agebaute Profil op sou ee, an d’Verbindung schléit schonn virun der Ufro vun den Umellungsdaten fehl, meeschtens mat enger Meldung, datt d’Verbindung vum lokale System ofgebrach gouf. Dee Text ass en Zeeche fir eng Net-Passung, keng Diagnos. Den Typ vum Profil an de Client, deen de Protokoll besëtzt, mussen iwwerenee stimmen, an ee vun deenen zwee feelt.

Véier Typen an en Dialog

Jiddwereen gespäicherte Profil dréit en Tunnelltyp. Den agebaute Client akzeptéiert PPTP, L2TP, IKEv2 an SSTP, plus en automatesche Modus, deen se der Rei no probéiert. Et gëtt keen allgemengen SSL VPN-Andrag, an et gëtt keng Méiglechkeet, en iwwer den Dialog dobäizesetzen. En Hierstellergateway schwätzt säin eegene Applicatiounsprotokoll iwwer TLS, deen nëmmen de Client vun deem Hiersteller ëmsetzt.

D’Lëscht ass eng Kommando ewech, an et ass derwäert, se virun all anerem Troubleshooting ze lafen, well se eng Sekonn dauert an eng ganz Klass vu falschen Annahmen ewechhëlt:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Wa de Profil SSTP seet an de Gateway kee RRAS-Server ass, ass d’Net-Passung schonn etabléiert. Keng Zertifikats- oder Firewallsaarbecht ännert dat.

SSTP an Hiersteller-TLS gesinn op Port 443 d’selwecht aus

SSTP packt eng PPP-Sessioun an TLS an an fiert iwwer TCP 443. Am Microsoft-Stack gëtt se vum RRAS ofgeschloss, deen en Zertifikat vum Server presentéiert, deen de Client validéiert. Eng Appareil vun Fortinet, Citrix oder Pulse schléisst och TLS op 443 of, an hire Portal geet an all Browser ouni Plainte op.

Dee Browsertest beweist d’Erreechbarkeet, net d’Kompatibilitéit. De Sessiounsprotokoll hannert dem Portal gehéiert dem Hiersteller, an den agebaute Client huet keng Ëmsetzung dofir. Ob den Hiersteller en eegene Client liwwert, seet Iech, mat wéi enger Hallschent vun der Net-Passung Dir ze dinn hutt.

Déi ëmgedréint Verwiesselung geschitt och. En als SSTP ageriichte Profil géint en echte RRAS-Server kann bei der Zertifikatsvalidéierung fehlschloen, während de Portal an der Rei ass, an dat ass e Zertifikatsproblem an net e Protokollsproblem.

Feeler, déi erschéngen, ier en Tunnel existéiert

D’Code vun der 800-Serie gi gemellt, ier en Tunnel opgebaut ass, dofir réckelen Firewallregelen se seele virun. De Feeler 812 ass eng Politik vun der Serversäit, déi d’Authentifikatiounsmethod refuséiert, déi de Client ugebueden huet. Déi aner am Beräich komme vum lokale Verbindungsmanager an net vum Reseau.

Schalt d’Verfolgung an, ier Dir eppes nei opbaut. D’Verfolgung nennt d’Etapp, déi feelt, an en Etappennumm ass méi wäert wéi den Text am Dialog:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Verfolgungen landen ënner dem Verfolungsverzeechnis a bleiwen do, bis Dir se eidel maacht, also schalt d’Verfolgung duerno aus, amplaz se Woche laang lafen ze loossen.

En ugeschlossene Profil kann ëmmer nach alles zerbriechen

En Profil, deen ugeschloss geet an duerno d’Surfen, eng lokal Deelung oder eng Container-Engine zerbricht, huet e Routingproblem, keen Tunnellproblem. De Standardgateway huet sech an den Tunnel geréckelt, also geet all Destinatioun elo iwwer en Noper, deen se vläicht net routeiert.

Zwee Steierungen entscheeden dat. Déi eng ass d’Split-Tunneling-Eegenschaft vum Profil. Déi aner ass d’Optioun pro Adapter, de Standardgateway am Remote-Reseau ze benotzen, déi ënner den erweiderten IPv4-Astellungen läit.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Split Tunneling unzeschalten, ouni Route bäizesetzen, gëtt en Tunnel, deen ugeschloss geet an näischt erreecht. E lëscht auszeschalten, ouni DNS ze kontrolléieren, gëtt intern Nimm, déi sech op ëffentlech Äntwerte opléisen, well den eegene Suffix an d’Servere vum Adapter net benotzt ginn.

Iwwerpréift d’Installatioun, dann den Typ

Schafft an dëser Reihenfolg, an hält op, wa en Schrëtt feelt, amplaz alles gläichzäiteg ze justéieren:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Déi éischt Kommando trennt d’Erreechbarkeet vum Protokoll. Déi zweet confirméiert, wat de Profil behaapt ze sinn. D’Routentabell weist, ob den Tunnel d’Standardroute gefaangen huet. D’Kommandof fir ze wielen mellt de Feeler vum Verbindungsmanager selwer, deen dacks méi kloer ass wéi den Dialog.

Schreift den Tunnelltyp, d’Produkt vum Gateway an de geneeë Feeler an den Ticket. Da weess déi nächst Persoun bannent enger Minutt, ob et eng Protokoll-Net-Passung, e Zertifikatsfeeler oder eng Routingentscheedung ass, amplaz mat „de VPN funktionéiert net“ unzefänken.