Кој RRAS интерфејс на локација го избира дојдовниот тунел?
RRAS го избира дојдовниот интерфејс на локација според адресата на партнерот, корисничкото име или субјектот на сертификатот, затоа читајте го овој клуч одделно од состојбите овозможено и поврзано.
На Windows сервер со неколку интерфејси локација-до-локација, ознаката во конзолата не е само забелешка за луѓе. RRAS користи точно определено поле од дојдовната врска за да одлучи кој логичен интерфејс ќе одговори, и тоа поле се менува со методот на автентикација. Ако го погрешите клучот, ќе преименувате интерфејси додека нешто случајно не се поврзе. Правилото за избор, административната состојба и состојбата на сесијата се три одделни факти, и само еден од нив се однесува на именувањето.
Мит: преименуваниот интерфејс ќе се совпадне со сѐ
Примамливата поправка кога огранок не може да се поврзе е да се создаде или преименува интерфејс на локација додека не заличи на повикувачот. Тоа работи за еден метод на автентикација, а тивко откажува за другите, затоа истата постапка се пренесува со противречни резултати. Интерфејсот на локација е логичен објект на врска со своја дестинација, заштитени префикси и состојба. Тој не е физичкиот адаптер што ги носи шифрираните пакети, затоа гледањето во мрежните адаптери не ви кажува ништо за тоа кој објект на локација е избран.
Изборот исто така нема никаква врска со обичните корисници на далечински пристап. Ако се повикуваат VPN клиенти на вработени, тие имаат друга улога и нивните кориснички имиња никогаш не учествуваат во ова мапирање. Потврдете на која улога припаѓа повикувачот пред да читате нешто во познато име.
Три форми на автентикација, три клуча за избор
Со претходно споделен клуч, конфигурираната дестинациска адреса на интерфејсот се споредува со адресата на дојдовниот партнер. Ознаката може да биде што било, бидејќи одлуката ја носи адресата. Со автентикација базирана на корисничко име, името на интерфејсот се споредува со корисничкото име што го презентира повикувачот. Овде ознаката е клучот, и токму затоа преименувањето може да изгледа како да поправа една локација и да расипува друга.
Со сертификати, името на интерфејсот се споредува со името на субјектот во презентираниот сертификат. Името мора да одговара на тој субјект, а убава ознака измислена од оператор нема да помине.
Следуваат две последици. Во поставеноста со претходно споделен клуч за дадена дестинација може да биде овозможен само еден интерфејс, затоа два огранока што делат една забележана јавна адреса не можат и двата да бидат опслужени со дупликат записи. И владее методот што навистина сте го конфигурирале, без оглед што предлага конзолата.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Овозможено не е поврзано
Административниот статус кажува дали на логичкиот интерфејс му е дозволено да работи. Состојбата на врската кажува дали во моментов постои сесија. Овозможен интерфејс без сесија е нормална состојба на мирување за врска што се повикува по барање, а пријавувањето како дефект ги испраќа луѓето да бркаат прекин што не постои.
Користете именувано пребарување или документираното пребарување по домен на рутирање, но не ги двата параметри заедно, и извршете го во предвидениот контекст на серверот. Ако очекуваниот интерфејс го нема во првиот список, проблемот е пред состојбата: ништо воопшто не е избрано.
Читајте го парот заедно, а не одделно. Врската што треба да остане воспоставена и се прикажува како прекината заслужува истрага, додека неактивната врска што се поврзува по барање се однесува како што е проектирана. Во меѓувреме административно оневозможениот интерфејс ќе остане мрачен, колку и пати спротивната страна да го рестартира својот рутер.
Ниту една од двете вредности не докажува дека автентикацијата успеала, дека договорената заштита се совпаѓа, дека рутите се инсталирани или дека приватната апликација е дозволена. Тоа се четири различни прашања со четири различни одговори.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateПрочитајте ја трансакцијата на идентитетот пред да овозможите нешто
Кога дојдовниот повикувач се мапира на интерфејс што не сте го очекувале, корисниот доказ е идентитетот што го презентирал, а не списокот на оневозможени интерфејси. Извлечете ги најновите настани за далечински пристап и прочитајте ја адресата на повикувачот, исходот од автентикацијата и името на избраниот интерфејс. Оневозможен интерфејс може да биде намерно повлечена локација или забранет партнер. Неговото овозможување за да видите дали ќе исчезне една грешка при најава е промена на конфигурацијата со последици за рутирањето и пристапот, затоа спроведете ја одлуката преку сопственикот на таа релација на локација, заедно со неговата дестинација, заштитени префикси и политика.
Ако мапирањето е навистина погрешно, поправете го клучот, а не симптомот: поправете го субјектот на сертификатот или во случајот со корисничко име името на интерфејсот, а во случајот со претходно споделен клуч дестинацијата. Потоа поврзете се повторно еднаш и потврдете дека истиот повикувач сега го избира предвидениот објект.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Затворете го циклусот со дозволена операција
Зелената состојба не е прифаќање. Откако ќе се избере правилниот интерфејс, генерирајте сообраќај што го дозволува проектот, од домаќин во еден заштитен префикс до домаќин во другиот, и потврдете дека одговорот се враќа по истиот пат. Извршете го истиот обид од домаќин што треба да биде одбиен, користејќи Test-NetConnection -ComputerName 10.44.2.10 -Port 445 против услуга што проектот ја исклучува, и прочитајте ги повторно настаните за далечински пристап. Врската на локација што носи повеќе од своите предвидени префикси, или одговара за услуга што политиката ја исклучува, е грешка во рутирањето што никаква проверка на состојбата нема да ја открие.
Запишете го методот на автентикација, клучот за избор и дозволените префикси заедно во прирачникот за работа на локацијата. Следниот инженер ќе ја сретне истата табела со три вредности, и конвенцијата за именување има смисла само кога тој контекст е запишан.