Kurią RRAS svetainės sąsają pasirenka įeinantis tunelis?
RRAS įeinančią svetainės sąsają pasirenka pagal bendraamžio adresą, vartotojo vardą arba sertifikato subjektą, todėl šį raktą skaitykite atskirai nuo įjungta ir prisijungta būsenų.
Windows serveryje su keliais svetainės-svetainės sąsajomis konsolės žymė nėra tik pastaba žmonėms. RRAS naudoja konkretų įeinančios jungties lauką, kad nuspręstų, kuri loginė sąsaja atsakys, ir tas laukas kinta priklausomai nuo autentifikavimo metodo. Suklydę su raktu, pervadinsite sąsajas, kol kažkas prisijungs atsitiktinai. Pasirinkimo taisyklė, administracinė būsena ir sesijos būsena yra trys atskiri faktai, ir tik vienas iš jų susijęs su pavadinimais.
Mitas: pervadinta sąsaja tiks bet kam
Viliojantis taisymas, kai filialas negali prisijungti, yra sukurti arba pervadinti svetainės sąsają, kol ji ims priminti skambinantįjį. Tai veikia vienam autentifikavimo metodui ir tyliai nepavyksta kitiems, todėl ta pati procedūra perduodama su prieštaringais rezultatais. Svetainės sąsaja yra loginis jungties objektas su savo paskirties vieta, apsaugotais priešdėliais ir būsena. Tai ne fizinis adapteris, nešantis šifruotus paketus, todėl žiūrėjimas į tinklo adapterius nieko nepasako apie tai, kuris svetainės objektas buvo pasirinktas.
Pasirinkimas taip pat neturi nieko bendra su įprastais nuotolinės prieigos vartotojais. Jei darbuotojų VPN klientai skambina, jie turi kitą vaidmenį, ir jų vartotojų vardai niekada nedalyvauja šiame susiejime. Patvirtinkite, kokiam vaidmeniui priklauso skambinantysis, prieš ką nors įžvelgdami pažįstamame pavadinime.
Trys autentifikavimo formos, trys pasirinkimo raktai
Su iš anksto bendrinamu raktu sukonfigūruotas sąsajos paskirties adresas lyginamas su įeinančio bendraamžio adresu. Žymė gali būti bet kokia, nes sprendimą neša adresas. Autentifikuojant pagal vartotojo vardą, sąsajos pavadinimas lyginamas su skambinantiojo pateikiamu vartotojo vardu. Čia žymė yra raktas, ir būtent todėl pervadinimas gali atrodyti taisantis vieną svetainę ir sugadinti kitą.
Su sertifikatais sąsajos pavadinimas lyginamas su pateikto sertifikato subjekto pavadinimu. Pavadinimas turi atitikti tą subjektą, o operatoriaus sugalvota graži žymė netiks.
Iš to kyla dvi pasekmės. Iš anksto bendrinamo rakto schemoje tam tikrai paskirties vietai gali būti įjungta tik viena sąsaja, todėl du filialai, besidalijantys vienu stebimu viešuoju adresu, negali būti aptarnaujami abu pasikartojančiais įrašais. Ir galioja tas metodas, kurį iš tikrųjų sukonfigūravote, kad ir ką siūlytų konsolė.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Įjungta nėra prisijungta
Administracinė būsena nurodo, ar loginei sąsajai leidžiama veikti. Jungties būsena nurodo, ar šiuo metu yra sesija. Įjungta sąsaja be sesijos yra įprasta ramybės būsena ryšiui, sujungiamam pagal poreikį, ir pranešimas apie tai kaip apie gedimą siunčia žmones vytis gedimo, kurio nėra.
Naudokite pavadintą paiešką arba dokumentuotą maršrutizavimo domeno paiešką, bet ne abu parametrus kartu, ir vykdykite ją numatytame serverio kontekste. Jei laukiamos sąsajos nėra pirmame sąraše, problema yra prieš būseną: nebuvo pasirinkta nieko.
Skaitykite porą kartu, o ne atskirai. Ryšys, kuris turėtų išlikti užmegztas ir rodomas kaip atjungtas, vertas tyrimo, o neveiklus ryšys, prisijungiantis pagal poreikį, elgiasi taip, kaip suprojektuotas. Tuo tarpu administraciškai išjungta sąsaja liks tamsi, kiek kartų tik priešinga pusė perkraus savo maršrutizatorių.
Nė viena iš dviejų reikšmių neįrodo, kad autentifikavimas pavyko, kad suderinta apsauga sutampa, kad maršrutai įdiegti ar kad privati programėlė leidžiama. Tai keturi skirtingi klausimai su keturiais skirtingais atsakymais.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStatePerskaitykite tapatybės operaciją prieš ką nors įjungdami
Kai įeinantis skambinantysis susiejamas su sąsaja, kurios nesitikėjote, naudingas įrodymas yra jo pateikta tapatybė, o ne išjungtų sąsajų sąrašas. Ištraukite naujausius nuotolinės prieigos įvykius ir perskaitykite skambinantiojo adresą, autentifikavimo rezultatą ir pasirinktos sąsajos pavadinimą. Išjungta sąsaja gali būti sąmoningai išjungta svetainė arba uždraustas partneris. Ją įjungti norint pamatyti, ar išnyks viena prisijungimo klaida, yra konfigūracijos pakeitimas su maršrutizavimo ir prieigos pasekmėmis, todėl sprendimą perduokite per tos svetainės santykių savininką, kartu su paskirties vieta, apsaugotais priešdėliais ir politika.
Jei susiejimas tikrai klaidingas, taisykite raktą, o ne simptomą: pataisykite sertifikato subjektą arba vartotojo vardo atveju sąsajos pavadinimą, o iš anksto bendrinamo rakto atveju paskirties vietą. Tada vieną kartą prisijunkite iš naujo ir patvirtinkite, kad tas pats skambinantysis dabar pasirenka numatytą objektą.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Uždarykite ciklą leidžiama operacija
Žalia būsena nėra priėmimas. Kai pasirenkama tinkama sąsaja, generuokite srautą, kurį leidžia projektas, iš vieno apsaugoto priešdėlio pagrindinio kompiuterio į kito pagrindinį kompiuterį, ir patvirtinkite, kad atsakymas grįžta tuo pačiu keliu. Atlikite tą patį bandymą iš pagrindinio kompiuterio, kuris turėtų būti atmestas, naudodami Test-NetConnection -ComputerName 10.44.2.10 -Port 445 prieš paslaugą, kurią projektas atmeta, ir dar kartą perskaitykite nuotolinės prieigos įvykius. Svetainės ryšys, pernešantis daugiau nei numatyti priešdėliai, arba atsakantis už paslaugą, kurią politika atmeta, yra maršrutizavimo klaida, kurios neatskleis jokia būsenos patikra.
Užrašykite autentifikavimo metodą, pasirinkimo raktą ir leidžiamus priešdėlius kartu svetainės eksploatavimo vadove. Kitas inžinierius sutiks tą pačią trijų reikšmių lentelę, ir pavadinimų konvencija turi prasmę tik tada, kai tas kontekstas užrašytas.