Windows iebūvētais VPN nesasniedz piegādātāja SSL vārteju: kāpēc

Windows nāk ar četriem tuneļu veidiem, un piegādātāja SSL vārteja nav neviens no tiem. Tomēr novirziet iebūvētu profilu uz šādu vārteju, un savienojums neizdosies jau pirms akreditācijas datu pieprasījuma, parasti ar ziņojumu, ka savienojumu pārtrauca vietējā sistēma. Šis teksts ir neatbilstības signāls, nevis diagnoze. Profila veidam un klientam, kuram pieder protokols, ir jāsakrīt, un viens no tiem trūkst.

Četri veidi un viens dialogs

Katram saglabātajam profilam ir tuneļa veids. Iebūvētais klients pieņem PPTP, L2TP, IKEv2 un SSTP, kā arī automātisku režīmu, kas tos izmēģina pēc kārtas. Nav vispārīga SSL VPN ieraksta, un to nevar pievienot ar dialogu. Piegādātāja vārteja runā savu lietojumprogrammu protokolu virs TLS, ko ievieš tikai šī piegādātāja klients.

Saraksts ir vienas komandas attālumā, un to ir vērts palaist pirms jebkuras citas problēmu novēršanas, jo tas aizņem sekundi un novērš veselu nepareizu pieņēmumu klasi:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ja profils saka SSTP un vārteja nav RRAS serveris, neatbilstība jau ir konstatēta. Nekāds sertifikātu vai ugunsmūra darbs to nemaina.

SSTP un piegādātāja TLS izskatās vienādi 443 portā

SSTP iesaiņo PPP sesiju TLS iekšienē un pārvietojas pa TCP 443. Microsoft stekā to noslēdz RRAS, kas uzrāda servera sertifikātu, kuru klients validē. Fortinet, Citrix vai Pulse ierīce arī noslēdz TLS 443 portā, un tās portāls atveras jebkurā pārlūkā bez iebildumiem.

Šis pārlūka tests pierāda sasniedzamību, nevis saderību. Sesijas protokols aiz portāla pieder piegādātājam, un iebūvētajam klientam nav tā ieviešanas. Tas, vai piegādātājs piegādā savu klientu, pasaka, ar kuru neatbilstības pusi jums ir darīšana.

Notiek arī pretēja sajaukšana. Profils, kas konfigurēts kā SSTP pret īstu RRAS serveri, var neizturēt sertifikāta validāciju, kamēr portāls ir kārtībā, un tā ir sertifikāta problēma, nevis protokola.

Kļūdas, kas parādās pirms tuneļa pastāvēšanas

800 sērijas kodi tiek ziņoti pirms jebkura tuneļa izveides, tāpēc ugunsmūra noteikumi tos reti pārvieto. Kļūda 812 ir servera puses politika, kas noraida klienta piedāvāto autentifikācijas metodi. Pārējās diapazonā nāk no vietējā savienojumu pārvaldnieka, nevis no tīkla.

Ieslēdziet izsekošanu, pirms kaut ko pārbūvējat. Izsekošana nosauc neveiksmīgo posmu, un posma nosaukums ir vērtīgāks par dialoga tekstu:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Izsekošanas nonāk izsekošanas direktorijā un paliek tur, līdz tās notīrāt, tāpēc pēc tam izslēdziet izsekošanu, nevis atstājiet to ieslēgtu nedēļām.

Pievienots profils joprojām var salauzt visu

Profilam, kas pievienojas un pēc tam salauž pārlūkošanu, vietējo koplietojumu vai konteineru dzinēju, ir maršrutēšanas problēma, nevis tuneļa. Noklusējuma vārteja pārvietojās uz tuneli, tāpēc katrs galamērķis tagad iet caur partneri, kas to var arī nemaršrutēt.

To nosaka divas vadīklas. Viena ir profila split tunneling īpašība. Otra ir katras kartes opcija izmantot noklusējuma vārteju attālinātajā tīklā, kas atrodas IPv4 papildu iestatījumos.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Ieslēdzot split tunneling bez maršrutu pievienošanas, tiek iegūts tunelis, kas pievienojas un neko nesasniedz. Izslēdzot to bez DNS pārbaudes, iekšējie nosaukumi tiek atrisināti uz publiskām atbildēm, jo kartes pašas sufikss un serveri netiek izmantoti.

Pārbaudiet cauruļvadu, tad veidu

Strādājiet šajā secībā un apstājieties, kad solis neizdodas, nevis pielāgojiet visu uzreiz:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Pirmā komanda atdala sasniedzamību no protokola. Otrā apstiprina, ko profils apgalvo esam. Maršrutu tabula parāda, vai tunelis pārņēma noklusējuma maršrutu. Zvanīšanas komanda ziņo paša savienojumu pārvaldnieka kļūdu, kas bieži ir skaidrāka par dialogu.

Ierakstiet biļetē tuneļa veidu, vārtejas produktu un precīzo kļūdu. Tad nākamais cilvēks minūtes laikā zina, vai tas ir protokola neatbilstība, sertifikāta kļūme vai maršrutēšanas lēmums, nevis sāk ar „VPN nedarbojas“.