Windows NAT-T registro reikšmė: pirmiausia patikrinkite topologiją

Windows VPN ryšys nepavyksta, paieška grąžina registro reikšmę, ir ši reikšmė įrašoma kartu su perkrovimu. Ši seka kartais veikia ir niekada nieko nepaaiškina. Aptariamas nustatymas atsako į vieną klausimą apie tai, kur serveris yra NAT įrenginio atžvilgiu, ir jis beprasmis, kol nežinote, kuris protokolas ir kuriame etape nepavyko.

Ką reikšmė iš tikrųjų pasirenka

AssumeUDPEncapsulationContextOnSendRule nustato, ar Windows IPsec diegimas bandys užmegzti asociacijas su partneriu už NAT įrenginio. Dokumentuota numatytoji reikšmė 0 neleidžia šio atvejo, 1 leidžia, kai serveris yra už NAT esanti pusė, o 2 apima abiejų galų vertimą. Tai topologijos teiginiai apie tai, kas kur yra.

Skaitant kaip seką, skaičiai apibūdina vis daugiau vertimo, o ne vis daugiau patikimumo. Nustačius 2 tinkle, kuriame niekas neverčiama, ryšys netampa greitesnis ar stabilesnis ir autentifikavimo klaida nepataisoma. „Microsoft“ NAT gairės, skirtos L2TP/IPsec dokumentuoja politiką ir jos istorinį platformos kontekstą. Palyginkite šį kontekstą su Windows versija ir vaidmeniu, kurį iš tikrųjų naudojate, nes dokumentas, išgyvenęs kelis leidimus, nėra teiginys apie kiekvieną dabartinį komponavimą.

Suderinkite topologiją prieš skaičių

Nubraižykite kelią ir pažymėkite vertimo taškus: ar klientas yra už namų maršrutizatoriaus, ar serveris yra už apkrovos balansuotojo ar ugniasienės, perrašančios adresus, ir ar kuris nors galas yra už operatoriaus vertimo, kurio nevaldote. Tik po šio brėžinio galite nuspręsti, ar reikšmė taikoma, ir kuriam galui.

Teiginys, kad dabartinės Windows Server versijos tiesiog tiekiamos su išjungtu NAT traversal, yra per platus, kad juo būtų galima vadovautis. Svarbu tai, kokia politika jūsų sistemoje, topologija prieš ją ir nepavykęs mainas, būtent tokia tvarka. Jei abu galai turi viešuosius adresus, nustatymas nėra jūsų problema. Vietoj to pažiūrėkite į pasiūlymą, sertifikatą ar paskyrą ir palikite registrą ramybėje.

Pirmiausia patikrinkite gedimo etapą

L2TP/IPsec sukelia bent tris skirtingus gedimus: partneris nepasiekiamas, IPsec apsaugos negalima nustatyti, ir PPP naudotojo autentifikavimas atmetamas po to, kai tunelis egzistuoja. Atmestos paskyros negalima sutaisyti keičiant NAT politiką, o pasiūlymų neatitikimo negalima sutaisyti perkraunant.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Skirtasis laikas be atsakovo rodo pasiekiamumą ar filtravimą, o ne politiką. Greitas atmetimas su pasiūlymo pranešimu nurodo algoritmus. Gedimas po tunelio pakėlimo priklauso autentifikavimo etapui, o tai kitas savininkas ir kitas sprendimas.

SSTP per HTTPS ir vietinis IKEv2 turi savo žurnalus ir savo valdymą. Niekas iš to netampa NAT-traversal atveju vien todėl, kad jie taip pat veikia Windows.

Atlikite pakeitimą su grįžimo keliu

Jei dokumentuota politika ir stebima topologija abi to reikalauja, užrašykite ankstesnę reikšmę, taikykite pakeitimą per valdomą konfigūraciją, o ne per kiekvieno profilio scenarijų, ir suplanuokite perkrovimą. Serveryje, palaikančiame kitus darbo krūvius, tai nėra nekenksmingas redagavimas.

NAT įrenginys vis tiek turi pernešti inkapsuliuotą transportą ir grįžtamąjį srautą. Registro reikšmė nesukuria jokios perdavimo taisyklės, nesuderina jokių pasiūlymų ir netikrina jokios tapatybės, todėl ryšys, pradėjęs veikti po pakeitimo, gali veikti dėl visiškai kitos priežasties. Dar kartą išbandykite pradinį protokolą su pradine topologija, tada užrašykite, kuris etapas nepavyko ir kodėl buvo tikimasi, kad reikšmė tai išspręs. Būtent šis sakinys paverčia interneto gandą konfigūracija, kurią galite apginti.