RRAS VPN klientiem vajag savu IPv4 kopu un ceļu atpakaļ

VPN klients pievienojas un saņem adresi, bet LAN resursdators, kas tam vajadzīgs, joprojām nevar atbildēt. Windows Routing and Remote Access VPN klientu iekšējā adrese nāk no kopas, kas konfigurēta atsevišķi no servera LAN adaptera, un LAN pusei vajag maršrutu atpakaļ uz šo kopu. Divas izmaiņas, nevis viena, un tās neizdodas dažādos veidos. Veiciet tās secīgi, lai adrešu plāns un atgriešanās ceļš būtu pierādīti pirms veco diapazonu izslēgšanas.

Rezervējiet diapazonu pirms konsoles atvēršanas

Izvēlieties prefiksu, kas nepārklājas ar LAN, citiem VPN diapazoniem vai jebko, kas maršrutēts uz vietni. /24 ir ērts izmērs testam, un pirmo izmantojamo daļu var dot klientiem, kamēr pārējā paliek brīva izaugsmei. Pierakstiet to ar mērķi un īpašnieku, pirms ievadāt konsolē. Atstājiet vietu abos bloka galos, lai vēlāks sadalījums neuzspiestu pārnumurēšanu.

Adrešu plāns, kas dzīvo tikai konsolē, ir viena pārbūve no sadursmes. Tam arī ir tendence augt: kāds vēlāk pievieno otru diapazonu, un neviens nepārbauda pirmo. Turiet plānu blakus servera dokumentācijai, nevis tērzēšanas pavedienā.

Servera LAN adapters nenosaka šo kopu. Publiskā klausītāja maiņa vai adaptera pievienošana LAN dara kaut ko pavisam citu. Tāpēc klienti var pievienoties un tomēr saņemt adresi no nepareizas vietas. Kopa dzīvo servera IPv4 rekvizītos, nevis adapteru sarakstā.

Metodes maiņa nav diapazona pievienošana

RRAS ir piešķiršanas metode un diapazonu kopa. Pāreja no DHCP uz statisku kopu ir metodes maiņa. Vēl viena bloka pievienošana, kamēr statiskā kopa jau ir aktīva, ir diapazona maiņa.

Pirms jebkuras izpildes priekšskatiet abas darbības un izlasiet, kura atbilst pašreizējam servera stāvoklim:

Set-VpnIPAddressAssignment -IPAssignmentMethod StaticPool -IPAddressRange '10.250.50.10','10.250.50.100' -WhatIf
Add-VpnIPAddressRange -IPAddressRange '10.250.50.110','10.250.50.150' -WhatIf

Otrais cmdlet neizdodas vai rada neizmantojamu kopu, ja serveris vēl ir uz DHCP piešķiršanas. Pirmais aizstāj metodi, nevis paplašina esošo kopu. Neviena priekšskatīšana neko nepiemēro, tāpēc izpildiet atbilstošo un pēc tam apstipriniet iegūto kopu konsolē. Ja neesat pārliecināts, kādā stāvoklī ir serveris, izlasiet piešķiršanas metodi IPv4 rekvizītu lapā un uzskaitiet konfigurētos diapazonus:

Get-VpnIPAddressRange

DHCP metode ar tukšu diapazonu sarakstu nozīmē, ka tiek piemērots pirmais priekšskatījums. Statiska adrešu kopa ar esošu diapazonu nozīmē, ka tiek piemērots otrais.

Ņemiet vērā pakalpojuma restartu, ko iestatījums var prasīt, un nepieņemiet, ka pievienotie klienti tiek pārnumurēti uzreiz. Klients, kas saglabā veco adresi līdz atkārtotai pievienošanai, uzvedas normāli. Plānojiet izmaiņas logam, kurā atkārtota pievienošanās ir pieņemama.

LAN vajag maršrutu atpakaļ

Pieņemsim, ka LAN ir 10.60.0.0/24 un RRAS serveris tajā ir 10.60.0.10. Resursdatoram šajā LAN, kas atbild klientam 10.250.50.0/24, vajag ceļu uz kopu caur RRAS serveri. Bez šī ceļa pieprasījums pienāk, un atbilde mirst.

Ja resursdatora noklusējuma vārteja ir cits maršrutētājs, tam maršrutētājam vajag atgriešanās maršrutu VPN prefiksam. Statisks maršruts RRAS serverī šeit nepalīdz; atgriešanās ceļam jābūt ierīcē, kurai pieder LAN vārteja, tāpēc pievienojiet to maršrutēšanas tabulai vai dinamiskās maršrutēšanas procesam, atkarībā no tā, ko vietne izmanto.

Pārbaudiet arī resursdatora ugunsmūri un visus tīkla piekļuves noteikumus pret jauno avota diapazonu. Noteikumi, kas rakstīti vecajam klientu diapazonam, noraida jauno, pat ja piešķiršana izdevās. Klienta maršruti uz LAN un DNS izšķiršana ir atsevišķas prasības, un abas var neizdoties, kamēr tunelis izskatās vesels. Pārbaudiet katru atsevišķi.

Pierādiet jauno kopu vienā ierīcē pirms vecās izslēgšanas

Paņemiet vienu jūsu kontrolētu autorizāciju, pievienojieties atkārtoti un izlasiet kopas adresi, ko klients saņēma. Šis viens skaitlis atdala piešķiršanu no maršrutēšanas. Pēc tam izmēģiniet nosauktu lietojumprogrammu, vērojiet atgriešanās datplūsmu un pamēģiniet galamērķi, kam jāpaliek liegta. Trīs novērojumi, trīs dažādi atteices veidi.

Nosaukumu izšķiršana ir pelnījusi savu testu: piekļuve pēc IP var darboties, kamēr klienta DNS joprojām norāda uz atrisinātāju, kuru tas nevar sasniegt. DNS serveris LAN ir sasniedzams tikai tad, ja klientam ir maršruts uz to un serveris pieņem vaicājumus no jaunā diapazona. Abi ir bieži pieļautas kļūdas, kad kopa pārvietojas.

Izslēdziet vecos diapazonus un to izņēmumus tikai pēc aktīvo sesiju un apkopes procesa ņemšanas vērā. Pievienots klients ar jaunu adresi pierāda piešķiršanu, nevis piekļuves politiku. Turiet veco diapazonu dokumentētu, līdz beidzas pēdējā sesija, kas to izmantoja.

Pārbaudiet rezultātu ar trim novērojumiem

Pieņemšanai vajag trīs faktus: klientam ir adrese no jaunās kopas, LAN resursdators var to sasniegt un saņemt atbildi, un liegtais galamērķis joprojām ir liegts. Katram ir sava pārbaude, tāpēc atteice norāda uz piešķiršanu, maršrutēšanu vai politiku. Izpildiet tos šajā secībā.

No klienta puses apstipriniet adresi un maršrutu uz vienu LAN resursdatoru:

ipconfig | findstr /i "IPv4"
route print -4

No LAN resursdatora puses apstipriniet atgriešanās ceļu un politiku vienā piegājienā. Ja ping neizdodas, bet lietojumprogramma strādā, trūkstošā daļa, visticamāk, ir ICMP noteikums, nevis maršruts. Ja neizdodas abi, izlasiet maršrutu resursdatorā pirms VPN rediģēšanas. Pierakstiet trīs rezultātus izmaiņu biļetenā, lai nākamais cilvēks sāktu ar pierādījumiem.