FortiClient заглавува на 98%: исклучете го IPv6 на тој адаптер

Лентата достигнува 98%, клиентот стои таму, и повторното внесување на лозинката не менува ништо. Тоа е корисниот траг: клиентот веќе го прифатил сертификатот на портата, ги испратил акредитивите и добил конфигурација на тунел. Она што останува е да се подигне виртуелниот адаптер и да се потврди дека тунелот пренесува сообраќај. Кога тој последен чекор никогаш не се завршува, дефектот е локален, и никакво повторно внесување на акредитиви не го достигнува.

Четири чекори, а првиот е читање на дневникот, а не на лентата.

Што всушност известува бројачот на 98%

Процентот е сопствен бројач на фази на клиентот, а не мерка за пропусност. Застој на истиот број при секој обид значи дека клиентот достигнува одреден чекор и чека; затоа бавната врска и заглавениот клиент изгледаат различно во дневникот. Проблем со акредитивите би испечатил грешка за акредитивите наместо тивка пауза.

Fortinet го документираше овој симптом против една причина на клиентската страна: IPv6 е вклучен на адаптерот што го користи клиентот. Тоа ја прави поставката на адаптерот првото нешто што треба да се тестира, а не универзално објаснување за секој SSL-VPN застој.

Чекор 1: прочитајте го дневникот пред лентата

Пред да промените било што, зачувајте ги редовите непосредно пред застојот. Барате дали е создаден тунелскиот адаптер, дали е доделена адреса и дали клиентот се откажал од чекањето на фамилија адреси. Застој на друг процент е друга фаза со сопствена дијагноза, а предупредување за сертификат или погрешна адреса на портата дава сопствена порака наместо тивко чекање. Запишете го временскиот печат, бидејќи следниот обид додава уште еден блок во истата датотека.

Ако дневникот покажува завршена најава по која следи ништо, вие сте во локално поставување и адаптерот е легитимен сомнителен.

Чекор 2: ограничете ја промената на IPv6 на еден адаптер

Промената и припаѓа на адаптерот, не на машината. Во својствата на адаптерот во Windows тоа значи да се отстрани Internet Protocol Version 6 (TCP/IPv6) на конкретниот интерфејс, а од школка тоа е Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Потврдете ја состојбата со Get-NetAdapterBinding -ComponentID ms_tcpip6 пред повторно поврзување. Потоа поврзете се повторно и гледајте дали лентата поминува 98% наместо да застане на него.

Прво ограничете го опсегот, потоа тестирајте. Глобалното исклучување на IPv6 е поголема промена отколку што бара прашањето и влијае на услуги што не сте имале намера да ги допрете.

Чекор 3: проверете што криел застојот

Тунел што се поврзува не е тунел што работи. Проверете ја адресата што ја доделил клиентот, рутите што ги инсталирал профилот и разрешувањето на имиња за еден внатрешен домаќин: Resolve-DnsName files.corp.example. Клиент што се поврзува и не разрешува ништо има DNS проблем, и тоа лесно се чита погрешно како враќање на истиот дефект.

Тестирајте еден внатрешен ресурс по име и една јавна дестинација, за да не се помеша расипан поделен тунел со поправен клиент.

Чекор 4: направете ја поправката повторлива

Ако поставката треба да стигне до цела флота, ставете ја во пакетот за распоредување или во конфигурацијата на адаптерот, наместо во рачен чекор што се повторува на секој преносен компјутер. Запишете во тикетот дека застојот на 98% бил поврзан со IPv6 на мрежниот интерфејс, и забележете што друго на домаќинот зависело од IPv6 пред некој повторно да го вклучи за да поправи нешто неповрзано.

Поправка што постои само во сеќавањето на еден инженер е поправка што се враќа следниот квартал.

Ако лентата сѐ уште застанува на 98% со исклучен IPv6, забелешката на производителот веќе не го објаснува тоа и дневникот е вашиот следен доказ. Престанете да го лекувате симптомот и вратете се на бројачот на фази.