Вградениот VPN во Windows не стигнува до SSL портата на добавувач: зошто

Windows доаѓа со четири типа тунели, а SSL портата на добавувачот не е ниту еден од нив. Сепак насочете вграден профил кон таква порта и врската ќе падне уште пред барањето акредитиви, обично со порака дека врската ја прекинал локалниот систем. Тој текст е сигнал за несовпаѓање, а не дијагноза. Типот на профилот и клиентот што го поседува протоколот мора да се совпаѓаат, а еден од нив недостасува.

Четири типа и еден дијалог

Секој зачуван профил носи тип на тунел. Вградениот клиент прифаќа PPTP, L2TP, IKEv2 и SSTP, плус автоматски режим што ги пробува по ред. Нема општ запис за SSL VPN и нема начин да се додаде преку дијалогот. Портата на добавувачот зборува свој апликациски протокол врз TLS, кој го применува само клиентот на тој добавувач.

Списокот е оддалечен една команда и вреди да се изврши пред било какво друго решавање проблеми, бидејќи трае една секунда и отстранува цела класа погрешни претпоставки:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Ако профилот вели SSTP, а портата не е RRAS сервер, несовпаѓањето е веќе утврдено. Никаква работа на сертификати или огнен ѕид не го менува тоа.

SSTP и TLS на добавувачот изгледаат исто на портата 443

SSTP завиткува PPP сесија во TLS и се движи по TCP 443. Во стекот на Microsoft ја затвора RRAS, која претставува серверски сертификат што клиентот го проверува. Уред на Fortinet, Citrix или Pulse исто така затвора TLS на 443, а неговата порта се отвора во секој прелистувач без поплака.

Тој тест во прелистувачот докажува достапност, а не компатибилност. Сесискиот протокол зад портата му припаѓа на добавувачот, а вградениот клиент нема негова примена. Дали добавувачот доставува свој клиент ви кажува со која половина од несовпаѓањето имате работа.

Се случува и обратна забуна. Профил поставен како SSTP кон вистински RRAS сервер може да не помине проверка на сертификат додека портата е во ред, а тоа е проблем со сертификат, не со протокол.

Грешки што се појавуваат пред да постои тунел

Кодовите од серијата 800 се пријавуваат пред да се воспостави каков било тунел, затоа правилата на огнениот ѕид ретко ги придвижуваат. Грешка 812 е серверска политика што го одбива методот за автентикација што го понудил клиентот. Останатите во опсегот доаѓаат од локалниот менаџер на врски, а не од мрежата.

Вклучете трасирање пред да преизградите нешто. Трасирањето го именува етапот што не успева, а името на етапа вреди повеќе од текстот во дијалогот:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Трагите завршуваат во директориумот за трасирање и остануваат таму додека не ги исчистите, затоа потоа исклучете го трасирањето наместо да го оставите да работи со недели.

Поврзан профил сепак може да збрка сето

Профилот што се поврзува и потоа го расипува прелистувањето, локалното споделување или контејнерскиот мотор има проблем со рутирање, не со тунел. Стандардната порта се пресели во тунелот, па секоја дестинација сега оди преку партнер што може и да не ја рутира.

Две поставки го решаваат ова. Едната е својството за split tunneling на профилот. Другата е опцијата за секој адаптер да ја користи стандардната порта на оддалечената мрежа, која е во напредните поставки за IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Вклучувањето split tunneling без додавање рути дава тунел што се поврзува и не стигнува никаде. Неговото исклучување без проверка на DNS дава внатрешни имиња што се разрешуваат во јавни одговори, бидејќи сопствениот суфикс и сервери на адаптерот не се користат.

Проверете ги инсталациите, потоа типот

Работете по овој ред и застанете кога чекор ќе не успее, наместо да го дотерувате сето одеднаш:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Првата команда ја одвојува достапноста од протоколот. Втората потврдува што тврди профилот дека е. Табелата со рути покажува дали тунелот ја презел стандардната рута. Командата за бирање ја пријавува сопствената грешка на менаџерот на врски, која често е појасна од дијалогот.

Запишете во тикетот типот на тунелот, производот на портата и точната грешка. Тогаш следниот човек за една минута знае дали е несовпаѓање на протокол, откажување на сертификат или одлука за рутирање, наместо да почне од „VPN не работи“.