Antara muka tapak RRAS yang mana dipilih oleh terowong masuk?
RRAS memilih antara muka tapak masuk berdasarkan alamat rakan, nama pengguna atau subjek sijil, jadi baca kunci itu secara berasingan daripada keadaan didayakan dan bersambung.
Pada pelayan Windows dengan beberapa antara muka tapak-ke-tapak, label konsol bukan sekadar nota untuk manusia. RRAS menggunakan medan tertentu daripada sambungan masuk untuk memutuskan antara muka logik mana yang menjawab, dan medan itu berubah mengikut kaedah pengesahan. Jika kunci salah, anda akan menamakan semula antara muka sehingga sesuatu bersambung secara kebetulan. Peraturan pemilihan, status pentadbiran dan status sesi ialah tiga fakta berasingan, dan hanya satu daripadanya berkaitan penamaan.
Mitos: antara muka yang dinamakan semula akan sepadan dengan apa sahaja
Pembetulan yang menggalakkan apabila cawangan tidak dapat bersambung ialah mencipta atau menamakan semula antara muka tapak sehingga ia kelihatan seperti pemanggil. Itu berkesan untuk satu kaedah pengesahan dan gagal secara senyap untuk yang lain, sebab itulah prosedur yang sama tersebar dengan keputusan yang bercanggah. Antara muka tapak ialah objek sambungan logik dengan destinasi, awalan terlindung dan statusnya sendiri. Ia bukan penyesuai fizikal yang membawa paket disulitkan, jadi melihat penyesuai rangkaian tidak memberitahu apa-apa tentang objek tapak mana yang dipilih.
Pemilihan juga tidak ada kaitan dengan pengguna akses jauh biasa. Jika klien VPN pekerja mendail masuk, mereka mempunyai peranan lain, dan nama pengguna mereka tidak pernah menyertai pemetaan ini. Sahkan peranan pemanggil sebelum membaca apa-apa daripada nama yang biasa.
Tiga bentuk pengesahan, tiga kunci pemilihan
Dengan kunci yang dikongsi terlebih dahulu, alamat destinasi antara muka yang dikonfigurasikan dibandingkan dengan alamat rakan yang masuk. Label boleh jadi apa sahaja, kerana alamat yang membawa keputusan. Dengan pengesahan berasaskan nama pengguna, nama antara muka dibandingkan dengan nama pengguna yang dikemukakan oleh pemanggil. Di sini label itulah kuncinya, dan itulah sebabnya penamaan semula boleh kelihatan membaiki satu tapak dan merosakkan yang lain.
Dengan sijil, nama antara muka dibandingkan dengan nama subjek dalam sijil yang dikemukakan. Nama itu mesti sepadan dengan subjek tersebut, dan label cantik yang direka oleh pengendali tidak akan memadai.
Dua akibat menyusul. Dalam susunan kunci yang dikongsi terlebih dahulu, hanya satu antara muka boleh didayakan untuk destinasi tertentu, jadi dua cawangan yang berkongsi satu alamat awam yang diperhatikan tidak boleh kedua-duanya dilayan melalui entri pendua. Dan kaedah yang benar-benar anda konfigurasikan itulah yang mengawal, apa pun yang dicadangkan konsol.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Didayakan bukan bersambung
Status pentadbiran menyatakan sama ada antara muka logik dibenarkan beroperasi. Status sambungan menyatakan sama ada sesi wujud sekarang. Antara muka yang didayakan tanpa sesi ialah keadaan rehat biasa bagi pautan yang mendail atas permintaan, dan melaporkannya sebagai kerosakan menghantar orang mengejar gangguan yang tidak wujud.
Gunakan carian bernama atau carian domain penghalaan yang didokumenkan, tetapi bukan kedua-dua parameter sekali gus, dan jalankannya dalam konteks pelayan yang dimaksudkan. Jika antara muka yang anda jangkakan tiada dalam senarai pertama, masalahnya terletak sebelum status: tiada apa-apa yang dipilih langsung.
Baca pasangan itu bersama-sama, bukan berasingan. Pautan yang sepatutnya kekal terbentuk dan kelihatan terputus wajar disiasat, manakala pautan terbiar yang bersambung atas permintaan berkelakuan seperti direka. Sementara itu antara muka yang dinyahdayakan secara pentadbiran akan kekal gelap, berapa kali pun pihak jauh memulakan semula penghalaannya.
Tiada satu pun daripada kedua-dua nilai itu membuktikan pengesahan berjaya, perlindungan yang dirundingkan sepadan, laluan dipasang atau aplikasi peribadi dibenarkan. Itu empat soalan berbeza dengan empat jawapan berbeza.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateBaca transaksi identiti sebelum mendayakan apa-apa
Apabila pemanggil masuk dipetakan kepada antara muka yang tidak anda jangkakan, bukti yang berguna ialah identiti yang dikemukakannya, bukan senarai antara muka yang dinyahdayakan. Tarik peristiwa akses jauh terkini dan baca alamat pemanggil, hasil pengesahan dan nama antara muka yang dipilih. Antara muka yang dinyahdayakan mungkin tapak yang sengaja dipersarakan atau rakan kongsi yang dilarang. Mendayakannya untuk melihat sama ada satu ralat log masuk hilang ialah perubahan konfigurasi dengan akibat penghalaan dan akses, jadi salurkan keputusan itu melalui pemilik hubungan tapak tersebut, bersama destinasi, awalan terlindung dan dasarnya.
Jika pemetaan benar-benar salah, betulkan kuncinya bukan simptomnya: betulkan subjek sijil atau, dalam kes nama pengguna, nama antara muka, dan dalam kes kunci yang dikongsi terlebih dahulu, destinasi. Kemudian sambung semula sekali dan sahkan pemanggil yang sama kini memilih objek yang dimaksudkan.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Tutup gelung dengan operasi yang dibenarkan
Keadaan hijau bukan penerimaan. Setelah antara muka yang betul dipilih, jana trafik yang dibenarkan oleh reka bentuk, daripada hos dalam satu awalan terlindung kepada hos dalam yang lain, dan sahkan balasan kembali melalui laluan yang sama. Jalankan percubaan yang sama daripada hos yang sepatutnya ditolak, menggunakan Test-NetConnection -ComputerName 10.44.2.10 -Port 445 terhadap perkhidmatan yang dikecualikan oleh reka bentuk, dan baca semula peristiwa akses jauh. Pautan tapak yang membawa lebih daripada awalan yang dimaksudkan, atau yang menjawab bagi perkhidmatan yang dikecualikan oleh dasar, ialah kesilapan penghalaan yang tidak akan didedahkan oleh sebarang pemeriksaan status.
Catat kaedah pengesahan, kunci pemilihan dan awalan yang dibenarkan bersama-sama dalam manual operasi tapak. Jurutera seterusnya akan menemui jadual tiga nilai yang sama, dan konvensyen penamaan hanya masuk akal apabila konteks itu ditulis.