Kuru RRAS vietnes saskarni izvēlas ienākošais tunelis?
RRAS izvēlas ienākošo vietnes saskarni pēc vienaudža adreses, lietotājvārda vai sertifikāta subjekta, tāpēc lasiet šo atslēgu atsevišķi no tās iespējotā un savienotā stāvokļa.
Windows serverī ar vairākām vietnes-uz-vietni saskarnēm konsoles etiķete nav tikai piezīme cilvēkiem. RRAS izmanto konkrētu ienākošā savienojuma lauku, lai izlemtu, kura loģiskā saskarne atbildēs, un šis lauks mainās līdz ar autentifikācijas metodi. Ja atslēgu paņemat nepareizi, pārdēvēsiet saskarnes, līdz kaut kas nejauši savienosies. Atlases noteikums, administratīvais stāvoklis un sesijas stāvoklis ir trīs atsevišķi fakti, un tikai viens no tiem attiecas uz nosaukšanu.
Mīts: pārdēvēta saskarne atbilst jebkam
Kārdinošais labojums, kad filiāle nevar savienoties, ir izveidot vai pārdēvēt vietnes saskarni, līdz tā līdzinās zvanītājam. Tas darbojas vienai autentifikācijas metodei un klusi neizdodas pārējām, tāpēc tā pati procedūra tiek nodota tālāk ar pretrunīgiem rezultātiem. Vietnes saskarne ir loģisks savienojuma objekts ar savu galamērķi, aizsargātiem prefiksiem un stāvokli. Tā nav fiziskā adaptere, kas pārvadā šifrētās paketes, tāpēc skatīšanās uz tīkla adapteriem neko nepasaka par to, kurš vietnes objekts tika izvēlēts.
Atlasei nav nekāda sakara arī ar parastajiem attālās piekļuves lietotājiem. Ja darbinieku VPN klienti zvana, viņiem ir cita loma, un viņu lietotājvārdi šajā kartēšanā nekad nepiedalās. Apstipriniet, kurai lomai pieder zvanītājs, pirms kaut ko nolasāt pazīstamā vārdā.
Trīs autentifikācijas formas, trīs atlases atslēgas
Ar iepriekš kopīgu atslēgu saskarnes konfigurētā galamērķa adrese tiek salīdzināta ar ienākošā vienaudža adresi. Etiķete var būt jebkas, jo lēmumu nes adrese. Ar lietotājvārda autentifikāciju saskarnes nosaukums tiek salīdzināts ar lietotājvārdu, ko uzrāda zvanītājs. Šeit etiķete ir atslēga, un tieši tāpēc pārdēvēšana var šķist vienu vietni salabojam un otru salaužam.
Ar sertifikātiem saskarnes nosaukums tiek salīdzināts ar subjekta nosaukumu uzrādītajā sertifikātā. Nosaukumam jāatbilst šim subjektam, un operatora izdomāta skaista etiķete nederēs.
No tā izriet divas sekas. Iepriekš kopīgas atslēgas shēmā konkrētam galamērķim var būt iespējota tikai viena saskarne, tāpēc divas filiāles, kas dala vienu novērotu publisko adresi, nevar abas tikt apkalpotas ar dublējošiem ierakstiem. Un darbojas tā metode, kuru jūs faktiski konfigurējāt, neatkarīgi no tā, ko iesaka konsole.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Iespējota nav savienota
Administratīvais statuss nosaka, vai loģiskajai saskarnei ir atļauts darboties. Savienojuma stāvoklis nosaka, vai pašlaik pastāv sesija. Iespējota saskarne bez sesijas ir normāls miera stāvoklis savienojumam, kas izsaucas pēc pieprasījuma, un ziņošana par to kā par bojājumu liek cilvēkiem dzenāties pēc pārtraukuma, kura nav.
Izmantojiet nosaukto meklēšanu vai dokumentēto maršrutēšanas domēna meklēšanu, bet ne abus parametrus kopā, un izpildiet to paredzētajā servera kontekstā. Ja sagaidītā saskarne pirmajā sarakstā nav, problēma ir pirms stāvokļa: nekas nemaz netika atlasīts.
Lasiet pāri kopā, nevis atsevišķi. Savienojums, kam jāpaliek nodibinātam un kas parādās kā atvienots, ir pelnījis izmeklēšanu, kamēr dīks savienojums, kas pieslēdzas pēc pieprasījuma, uzvedas kā projektēts. Tikmēr administratīvi atspējota saskarne paliks tumša, lai cik reižu pretējā puse restartētu savu maršrutētāju.
Neviena no abām vērtībām nepierāda, ka autentifikācija izdevās, ka vienotā aizsardzība sakrīt, ka maršruti tika instalēti vai ka privātā lietojumprogramma ir atļauta. Tie ir četri dažādi jautājumi ar četrām dažādām atbildēm.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateIzlasiet identitātes darījumu, pirms kaut ko iespējojat
Kad ienākošais zvanītājs tiek kartēts uz saskarni, kuru negaidījāt, noderīgais pierādījums ir viņa uzrādītā identitāte, nevis atspējoto saskarņu saraksts. Izvelciet jaunākos attālās piekļuves notikumus un izlasiet zvanītāja adresi, autentifikācijas iznākumu un atlasītās saskarnes nosaukumu. Atspējota saskarne var būt apzināti likvidēta vietne vai aizliegts partneris. To iespējot, lai redzētu, vai pazūd viena pieteikšanās kļūda, ir konfigurācijas izmaiņa ar maršrutēšanas un piekļuves sekām, tāpēc lēmumu virziet caur šīs vietnes attiecību īpašnieku, kopā ar tās galamērķi, aizsargātajiem prefiksiem un politiku.
Ja kartējums tiešām ir nepareizs, labojiet atslēgu, nevis simptomu: izlabojiet sertifikāta subjektu vai lietotājvārda gadījumā saskarnes nosaukumu, bet iepriekš kopīgas atslēgas gadījumā galamērķi. Pēc tam vienreiz pieslēdzieties no jauna un apstipriniet, ka tas pats zvanītājs tagad atlasa paredzēto objektu.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Noslēdziet ciklu ar atļautu darbību
Zaļš stāvoklis nav pieņemšana. Kad pareizā saskarne ir atlasīta, ģenerējiet datplūsmu, ko pieļauj projekts, no vienas aizsargātās prefiksa saimnieka uz otras saimnieku, un apstipriniet, ka atbilde atgriežas pa to pašu ceļu. Veiciet to pašu mēģinājumu no saimnieka, kam vajadzētu tikt atteiktam, izmantojot Test-NetConnection -ComputerName 10.44.2.10 -Port 445 pret pakalpojumu, ko projekts izslēdz, un vēlreiz izlasiet attālās piekļuves notikumus. Vietnes savienojums, kas pārvadā vairāk par paredzētajiem prefiksiem vai atbild uz pakalpojumu, ko politika izslēdz, ir maršrutēšanas kļūda, ko neatklās neviena stāvokļa pārbaude.
Pierakstiet autentifikācijas metodi, atlases atslēgu un atļautos prefiksus kopā vietnes ekspluatācijas rokasgrāmatā. Nākamais inženieris sastaps to pašu trīs vērtību tabulu, un nosaukumu konvencijai ir jēga tikai tad, kad šis konteksts ir pierakstīts.