Портата во полето за адреса на Windows VPN работи само со SSTP

VPN серверот одговара на TCP 10443, вградениот клиент на Windows ги има точните акредитиви, а врската сепак умира по пауза што личи на истек на време за DNS. Причината обично е полето за адреса: внесувањето vpn.example.com:10443 во Име на серверот или адреса го тера Windows да ја прочита целата низа како име на домаќин, бидејќи тоа поле не е општ внес host:port. Дали порта воопшто може да се изрази таму зависи од типот на тунел што го користи профилот, и само еден од четирите типа ја третира вредноста како нешто што може да го анализира.

Зошто полето за адреса не е поле host:port

Својството на профилот зад тоа поле е ServerAddress и секој тип на тунел одлучува што прави со низата. Три од нив немаат параметар за порта што треба да се пополни, па две точки и број се само знаци во име што никогаш нема да се разреши. Четвртиот работи преку HTTPS, каде порта е дел од URL-то, па вредноста мора да се напише во форма што се анализира како URL.

Затоа неуспехот изгледа како разрешување на имиња, а не како одбиена врска. Нема лоша порта за пријавување, има само име на домаќин што не постои, а грешката доаѓа откако resolver-от ќе се откаже. Пред да го допрете серверот, проверете кој тип на тунел тврди профилот дека го користи.

Трите типа со фиксна порта

PPTP се поврзува со TCP 1723 и потоа го носи тунелот во GRE, IP протокол 47. L2TP/IPsec користи UDP 1701 за тунелот и UDP 500 плус 4500 за IPsec, при што 4500 е порта за премин низ NAT. IKEv2 исто така користи UDP 500 и 4500. Ниту еден од тие профили не прикажува поле за порта никаде во интерфејсот, и ниту еден нема да преговара нестандардна порта.

Сервер што слуша на прилагодена порта затоа е недостапен за тие профили, без оглед како е напишана адресата. Практичните одговори се тесни: објавете ја стандардната порта на серверот или преведете ја стандардната порта во прилагодената на рутерот пред него. Двете го оставаат клиентскиот профил недопрен, што многу вреди кога профилот се распоредува преку политика, а не се пишува рачно.

SSTP бара URL, а не име

SSTP е исклучокот бидејќи работи во сесија на TLS. Полето мора да се анализира како URL: прво шемата https://, потоа домаќинот, потоа две точки и портата. Без шемата Windows продолжува да ја третира вредноста како обично име и врската пропаѓа пред да се случи каков било TLS обмен.

Причината зошто ова ги изненадува луѓето е што стандардната порта го прифаќа голото име на домаќин. Профил на кој никогаш не му требала прилагодена порта никогаш не го учи правилото, и првиот човек што ќе додаде таква го открива преку неуспех. Откако ќе зачувате, прочитајте ја зачуваната вредност наместо да му верувате на дијалогот:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress покажува точно што е зачувано. Ако се чита како голо име на домаќин со две точки, профилот никогаш не добил URL и никаков број обиди нема да го поправи тоа.

Синтакса на производителот што се вметнува во истото поле

Некои порти документираат дополнителни конвенции за тоа поле, како realm додаден по портата или параметри на барањето што го менуваат ракувањето со сертификати. Нив ги разбира серверот на тој производител и, во некои градби, неговиот сопствен клиент. Тие не се дел од форматот на профилот на Windows, а нивното вметнување во вграден профил обично го дава истиот тивок неуспех со името.

Третирајте параметар што го исклучува валидирањето на сертификатот како предупредување, а не како поправка. Ако профилот се поврзува само со тој параметар, сертификатот не се совпаѓа со името што се користи, и правилната поправка е на портата, а не во клиентот. Realm по портата го има истото својство: прави нешто само ако серверот од другата страна го очекува.

Докажете ја портата, потоа прочитајте ја фазата што пропаѓа

Пред да го обвините профилот, потврдете дека нешто прифаќа TCP на таа порта од мрежата на клиентот:

Test-NetConnection vpn.example.com -Port 10443

Успехот докажува слушател, а не SSTP. Веб-сервер, обратен прокси или балансер на оптоварување можат да го завршат TCP ракувањето и сепак да не зборуваат SSTP, па зелен тест со црвен VPN е вистинска комбинација. Споредете го субјектот на сертификатот со името во профилот и проверете го дневникот RasClient во градбите што го доставуваат, бидејќи ја запишува фазата што пропаднала наместо општ истек на време.

Потоа разгледајте ја опцијата што го отстранува проблемот наместо да го документира: пренасочете TCP 443 однадвор кон 10443 на VPN серверот. Тогаш клиентот го користи стандардниот профил без никаква порта, што обично е најчистото уредување за управуван парк и ја остава прилагодената порта како внатрешен детаљ.