Windows NAT-T-Registerwäert: éischt d’Topologie prüfen

Eng Windows-VPN-Verbindung schléit fehl, eng Sich gëtt en Registerwäert zréck, an de Wäert gëtt mat engem Neistart agetrueden. Dës Rei funktionéiert heiansdo an erkläert ni eppes. D’Astellung déi am Spill ass, beäntwert eng Fro doriwwer wou de Server relativ zu engem NAT-Apparat steet, an et ass sënnlos bis Dir wësst wéiche Protokoll a wéi enger Etapp fehlgeschloe huet.

Wat de Wäert tatsächlech auswielt

AssumeUDPEncapsulationContextOnSendRule bestëmmt ob eng Windows-IPsec-Implementatioun Associatiounen mat engem Peer hannert engem NAT-Apparat versiche wäert. Den dokumentéierte Standard 0 erlaabt dee Fall net, 1 erlaabt en wann de Server déi Säit hannert NAT ass, an 2 deckt of datt béid Enner iwwersat ginn. Dat sinn Topologieaussoen doriwwer wien wou ass.

Als Rei gelies beschreiwen d’Zuelen ëmmer méi Iwwersetzung an net ëmmer méi Zouverlässegkeet. Den 2 op engem Netz ze setzen wou näischt iwwersat gëtt, mécht d’Verbindung net méi séier oder méi stabil, an et reparéiert och keen Authentifikatiounsfehler. D’ Microsoft-Richtlinn zu NAT fir L2TP/IPsec dokumentéiert d’Politik an hiren historeschen Plattformkontext. Vergläicht dee Kontext mat der Windows-Versioun an -Roll déi Dir tatsächlech lauft, well en Dokument dat verschidde Releases iwwerlieft huet keng Ausso iwwer all aktuellen Build ass.

Passt d’Topologie virun der Zuel un

Zeechent de Wee an markéiert d’Iwwersetzungspunkten: ass de Client hannert engem Heemrouter, ass de Server hannert engem Load Balancer oder enger Firewall déi Adressen ëmschreift, a läit ee vun den Enner hannert enger Betreiwer-Iwwersetzung déi Dir net kontrolléiert. Eréischt no dëser Zeechnung kënnt Dir entscheeden ob de Wäert gëllt, a fir wéi en Enn.

D’Behaaptung datt aktuell Windows Server-Versiounen einfach mat deaktivéiertem NAT-Traversal ausgeliwwert ginn ass ze breet fir drop ze handelen. Wichteg ass d’Politik op Ärem System, d’Topologie virun deem an den Austausch dee fehlgeschloe huet, an därer Rei. Wann béid Enner ëffentlech Adressen hunn, ass d’Astellung net Äre Problem. Kuckt amplaz op de Propos, den Zertifikat oder de Kont, a loosst de Register brauchen.

Préift éischt d’Etapp vum Fehler

L2TP/IPsec produzéiert op d’mannst dräi verschidden Fehler: de Peer ass net erreechbar, IPsec-Schutz kann net opgebaut ginn, an d’ PPP-Benotzerauthentifikatioun gëtt refuséiert nodeems den Tunnel existéiert. E refuséierte Kont ka net duerch eng Ännerung vun der NAT-Politik reparéiert ginn, an eng Ongereimtheet bei de Proposen net duerch en Neistart.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

En Timeout ouni Äntwert deit op Erreechbarkeet oder Filterung hin, net op Politik. Eng séier Refus mat enger Propos-Meldung weist op Algorithmen. E Fehler nodeems den Tunnel steet gehéiert zur Authentifikatiouns-Etapp, wat en aneren Eegentümer an eng aner Léisung ass.

SSTP iwwer HTTPS an natives IKEv2 hunn hir eege Loggen an hir eege Kontrollen. Nichts dovun gëtt en NAT-Traversal-Fall just well se och op Windows lafen.

Maacht d’Ännerung mat engem Wee zréck

Wann déi dokumentéiert Politik an déi observéiert Topologie béid drop hiweisen, notéiert de virege Wäert, wend d’Ännerung iwwer déi verwalt Konfiguratioun un an net iwwer e Skript pro Profil, a plangt den Neistart. Op engem Server dee aner Aarbechtslaaschte dréit ass dat keng harmlos Ännerung.

Den NAT-Apparat muss de gekapselten Transport an den Zréckverkéier weider droen. En Registerwäert erstellt keng Viruleedungsregel, richtegt keng Proposen aus a validéiert keng Identitéit, sou datt eng Verbindung déi no der Ännerung ufänkt ze funktionéieren aus engem ganz aneren Grond funktionéiere kann. Testt de urspréngleche Protokoll mat der ursprénglecher Topologie nach eng Kéier, a schreift dann op wéi eng Etapp fehlgeschloe huet a firwat erwaart gouf datt de Wäert dat léist. Dee Saz ass et wat en Internet-Gerücht an eng Konfiguratioun ëmwandelt déi Dir kënnt verdeedegen.