Įtaisytasis „Windows“ VPN nepasiekia tiekėjo SSL šliuzo: kodėl

„Windows“ turi keturis tunelių tipus, o tiekėjo SSL šliuzas nėra nė vienas jų. Vis dėlto nukreipkite įtaisytąjį profilį į tokį šliuzą, ir ryšys nutrūks dar nepasiekus prisijungimo duomenų užklausos, dažniausiai su pranešimu, kad ryšį nutraukė vietinė sistema. Tas tekstas yra nesuderinamumo signalas, o ne diagnostika. Profilio tipas ir klientas, kuriam priklauso protokolas, turi sutapti, o vieno jų trūksta.

Keturi tipai ir vienas dialogas

Kiekvienas išsaugotas profilis turi tunelio tipą. Įtaisytasis klientas priima PPTP, L2TP, IKEv2 ir SSTP, be to, automatinį režimą, kuris juos bando iš eilės. Nėra bendro SSL VPN įrašo, o per dialogą jo pridėti negalima. Tiekėjo šliuzas kalba savo programų protokolu per TLS, kurį įgyvendina tik to tiekėjo klientas.

Sąrašas yra per vieną komandą, ir verta jį paleisti prieš bet kokį kitą trikčių šalinimą, nes tai užtrunka sekundę ir pašalina visą klasę klaidingų prielaidų:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Jei profilis sako SSTP, o šliuzas nėra RRAS serveris, nesuderinamumas jau nustatytas. Joks sertifikatų ar ugniasienės darbas to nepakeis.

SSTP ir tiekėjo TLS atrodo vienodai 443 prievade

SSTP apvynioja PPP sesiją TLS viduje ir keliauja TCP 443. „Microsoft“ kamiene ją užbaigia RRAS, kuris pateikia serverio sertifikatą, kurį klientas patikrina. „Fortinet“, „Citrix“ ar „Pulse“ įrenginys taip pat užbaigia TLS 443 prievade, o jo portalas atsidaro bet kurioje naršyklėje be priekaištų.

Tas naršyklės testas įrodo pasiekiamumą, o ne suderinamumą. Sesijos protokolas už portalo priklauso tiekėjui, o įtaisytasis klientas neturi jo įgyvendinimo. Ar tiekėjas tiekia savo klientą, pasako, su kuria nesuderinamumo puse susiduriate.

Pasitaiko ir atvirkštinė painiava. Profilis, sukonfigūruotas kaip SSTP prieš tikrą RRAS serverį, gali nepraeiti sertifikato patikros, nors portalas veikia, ir tai sertifikato problema, o ne protokolo.

Klaidos, pasirodančios prieš atsirandant tuneliui

800 serijos kodai pranešami prieš nustatant bet kokį tunelį, todėl ugniasienės taisyklės juos retai pajudina. Klaida 812 yra serverio pusės politika, atmetanti kliento pasiūlytą autentifikavimo metodą. Kiti šiame diapazone ateina iš vietinio ryšių valdiklio, o ne iš tinklo.

Įjunkite sekimą prieš ką nors perstatydami. Sekimas įvardija nepavykstantį etapą, o etapo pavadinimas vertas daugiau nei dialogo tekstas:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Sekimų įrašai patenka į sekimo katalogą ir lieka ten, kol jų neišvalysite, todėl po to sekimą išjunkite, o ne palikite veikti savaitėmis.

Prisijungęs profilis vis tiek gali viską sugadinti

Profilis, kuris prisijungia ir tada sugadina naršymą, vietinį bendrinimą ar konteinerių variklį, turi maršrutizavimo problemą, o ne tunelio. Numatytoji šliuzo reikšmė persikėlė į tunelį, todėl kiekviena paskirties vieta dabar eina per partnerį, kuris gali jos nemaršrutizuoti.

Tai lemia du valdikliai. Vienas yra profilio split tunneling savybė. Kitas yra kiekvieno adapterio parinktis naudoti numatytąjį šliuzą nuotoliniame tinkle, kuri yra išplėstinėse IPv4 nuostatose.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Įjungus split tunneling nepridėjus maršrutų gaunamas tunelis, kuris prisijungia ir nieko nepasiekia. Išjungus jį nepatikrinus DNS, vidiniai vardai išsprendžiami į viešus atsakymus, nes adapterio suffiksas ir serveriai nenaudojami.

Patikrinkite vamzdyną, tada tipą

Dirbkite šia tvarka ir sustokite, kai žingsnis nepavyksta, o ne koreguokite viską iš karto:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Pirmoji komanda atskiria pasiekiamumą nuo protokolo. Antroji patvirtina, kuo profilis save laiko. Maršrutų lentelė parodo, ar tunelis užvaldė numatytąjį maršrutą. Skambinimo komanda praneša paties ryšių valdiklio klaidą, kuri dažnai aiškesnė už dialogą.

Užrašykite biliete tunelio tipą, šliuzo produktą ir tikslią klaidą. Tada kitas žmogus per minutę žinos, ar tai protokolo nesuderinamumas, sertifikato gedimas, ar maršrutizavimo sprendimas, o ne pradės nuo „VPN neveikia“.