Windows-ын суурилагдсан VPN нь нийлүүлэгчийн SSL гарц руу хүрэхгүй байгаа шалтгаан

Windows-тэй хамт дөрвөн төрлийн туннель ирдэг бөгөөд нийлүүлэгчийн SSL гарц тэдгээрийн нэг биш. Гэсэн хэдий ч суурилагдсан профайлыг ийм гарц руу чиглүүлбэл холболт нэвтрэх мэдээлэл асуухаас өмнө тасарч, ихэвчлэн орон нутгийн систем холболтыг зогсоосон гэсэн мессеж гардаг. Тэр текст нь зөрүүгийн дохио бөгөөд онош биш. Профайлын төрөл болон протоколыг эзэмшдэг клиент хоёр тохирох ёстой бөгөөд тэдгээрийн нэг нь дутуу байна.

Дөрвөн төрөл ба нэг харилцан яриа

Хадгалагдсан профайл бүр туннелийн төрөлтэй. Суурилагдсан клиент нь PPTP, L2TP, IKEv2 болон SSTP-г хүлээн авдаг, мөн тэдгээрийг дарааллаар нь туршдаг автомат горимтой. Ерөнхий SSL VPN бичлэг байхгүй бөгөөд харилцан яриагаар нэмэх арга ч байхгүй. Нийлүүлэгчийн гарц нь TLS дээр өөрийн аппликейшн протоколоор ярьдаг бөгөөд зөвхөн тэр нийлүүлэгчийн клиент үүнийг хэрэгжүүлдэг.

Жагсаалт нэг командын зайд байгаа бөгөөд бусад алдаа оношлохоос өмнө ажиллуулах нь зүйтэй, учир нь нэг секунд зарцуулж, буруу таамаглалын бүхэл ангиллыг арилгадаг:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Хэрэв профайл SSTP гэж хэлж, гарц нь RRAS сервер биш бол зөрүү аль хэдийн тогтоогдсон. Гэрчилгээ эсвэл галт хананы ямар ч ажил үүнийг өөрчлөхгүй.

SSTP ба нийлүүлэгчийн TLS нь 443 порт дээр ижил харагдана

SSTP нь PPP сессийг TLS дотор ороож, TCP 443-аар явдаг. Microsoft-ын стект үүнийг RRAS дуусгаж, клиентийн шалгадаг серверийн гэрчилгээг үзүүлдэг. Fortinet, Citrix эсвэл Pulse төхөөрөмж мөн 443 дээр TLS-ыг дуусгаж, түүний портал ямар ч хөтөч дээр гомдолгүй нээгддэг.

Тэр хөтчийн шалгалт нь хүртээмжийг баталж бай, нийцтэй байдлыг биш. Порталын ард байгаа сессийн протокол нь нийлүүлэгчид хамаарах бөгөөд суурилагдсан клиентэд түүний ямар ч хэрэгжүүлэлт байхгүй. Нийлүүлэгч өөрийн клиентийг нийлүүлдэг эсэх нь та зөрүүгийн аль хагастай харьцаж байгааг хэлнэ.

Урвуу төөрөгдөл ч тохиолддог. SSTP гэж тохируулсан профайл бодит RRAS серверийн эсрэг портал нь хэвийн байхад гэрчилгээний шалгалтад унаж болох бөгөөд энэ нь гэрчилгээний асуудал, протоколын биш.

Туннель үүсэхээс өмнө гарч буй алдаанууд

800 цувралын кодууд ямар ч туннель тогтоохоос өмнө мэдээлэгддэг тул галт хананы дүрмүүд тэдгээрийг ховор хөдөлгөдөг. 812 алдаа нь клиентийн санал болгосон баталгаажуулалтын аргыг серверийн талын бодлогоос татгалзсан явдал. Хүрээний бусад нь сүлжээнээс биш, орон нутгийн холболтын менежерээс ирдэг.

Ямар нэгэн зүйлийг дахин барихаас өмнө мөрдөлтийг асаана уу. Мөрдөлт нь унаж буй шатыг нэрлэдэг бөгөөд шатны нэр харилцан ярианы текстээс илүү үнэ цэнэтэй:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Мөрүүд мөрдөлтийн хавтас дор бууж, та тэдгээрийг цэвэрлэх хүртэл тэнд үлддэг тул дараа нь мөрдөлтийг унтраагаарай, долоо хоногоор асаалттай орхихгүй.

Холбогдсон профайл ч бүгдийг эвдэж болно

Холбогдоод дараа нь хөтөлбөр, орон нутгийн хуваалт эсвэл контейнер хөдөлгүүрийг эвдэж буй профайл нь туннелийн бус, маршрутын асуудалтай. Өгөгдмөл гарц туннель руу шилжсэн тул одоо хүрэх газар бүр түүнийг маршрутлаж чадахгүй байж болох түнштэй дамжина.

Үүнийг хоёр удирдлага шийднэ. Нэг нь профайл дээрх split tunneling шинж чанар. Нөгөө нь алсын сүлжээн дэх өгөгдмөл гарцыг ашиглах адаптер тус бүрийн сонголт бөгөөд IPv4-ийн нарийвчилсан тохиргоонд байдаг.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Маршрут нэмэхгүйгээр split tunneling асаавал холбогддог ч хаашаа ч хүрэхгүй туннель үүснэ. DNS шалгахгүйгээр унтраавал адаптерын өөрийн дагавар болон серверүүд ашиглагдахгүй тул дотоод нэрс нийтийн хариулт болж шийдэгдэнэ.

Эхлээд хоолойн холболтыг, дараа нь төрлийг шалгана уу

Энэ дарааллаар ажиллаж, бүгдийг зэрэг тохируулахын оронд алхам унавал зогсоорой:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Эхний команд нь хүртээмжийг протоколоос тусгаарлана. Хоёр дахь нь профайл өөрийгөө юу гэж мэдэгдэж байгааг батална. Маршрутын хүснэгт нь туннель өгөгдмөл маршрутыг эзэлсэн эсэхийг харуулна. Залгах команд нь холболтын менежерийн өөрийн алдааг мэдээлдэг бөгөөд энэ нь харилцан ярианаас илүү тодорхой байх нь элбэг.

Тасалбарт туннелийн төрөл, гарцын бүтээгдэхүүн, яг алдааг бичээрэй. Тэгвэл дараагийн хүн нэг минутын дотор энэ нь протоколын зөрүү, гэрчилгээний доголдол эсвэл маршрутын шийдвэр эсэхийг мэдэх бөгөөд «VPN ажиллахгүй байна» гэж эхлэх шаардлагагүй.