VPN terbina dalam Windows tidak dapat mencapai gateway SSL vendor: mengapa

Windows disertakan dengan empat jenis terowong, dan gateway SSL vendor bukan salah satunya. Tetapkan juga profil terbina dalam kepadanya, dan sambungan gagal sebelum gesaan kelayakan, biasanya dengan mesej bahawa sambungan ditamatkan oleh sistem setempat. Teks itu isyarat ketidakpadanan, bukan diagnosis. Jenis profil dan klien yang memiliki protokol mesti sepadan, dan salah satunya tiada.

Empat jenis dan satu dialog

Setiap profil tersimpan membawa jenis terowong. Klien terbina dalam menerima PPTP, L2TP, IKEv2 dan SSTP, serta mod automatik yang mencubanya mengikut urutan. Tiada entri SSL VPN umum, dan tiada cara untuk menambahnya melalui dialog. Gateway vendor bercakap protokol aplikasinya sendiri di atas TLS, yang hanya dilaksanakan oleh klien vendor itu.

Senarai itu hanya satu arahan jauhnya, dan wajar dijalankan sebelum sebarang penyelesaian masalah lain kerana ia mengambil satu saat dan menghapuskan seluruh kelas andaian yang salah:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Jika profil menyatakan SSTP dan gateway bukan pelayan RRAS, ketidakpadanan itu sudah terbukti. Tiada kerja sijil atau tembok api yang mengubahnya.

SSTP dan TLS vendor kelihatan sama pada port 443

SSTP membalut sesi PPP di dalam TLS dan bergerak pada TCP 443. Dalam tindanan Microsoft, ia ditamatkan oleh RRAS, yang membentangkan sijil pelayan yang disahkan oleh klien. Perkakas Fortinet, Citrix atau Pulse juga menamatkan TLS pada 443, dan portalnya terbuka dalam mana-mana pelayar tanpa aduan.

Ujian pelayar itu membuktikan kebolehcapaian, bukan keserasian. Protokol sesi di sebalik portal milik vendor, dan klien terbina dalam tiada pelaksanaannya. Sama ada vendor membekalkan kliennya sendiri memberitahu anda separuh mana ketidakpadanan yang anda hadapi.

Kekeliruan sebaliknya juga berlaku. Profil yang dikonfigurasikan sebagai SSTP terhadap pelayan RRAS sebenar boleh gagal pada pengesahan sijil sedangkan portalnya baik, dan itu masalah sijil, bukan masalah protokol.

Ralat yang muncul sebelum terowong wujud

Kod siri 800 dilaporkan sebelum mana-mana terowong ditubuhkan, sebab itu peraturan tembok api jarang mengalihkannya. Ralat 812 ialah dasar sebelah pelayan yang menolak kaedah pengesahan yang ditawarkan klien. Yang lain dalam julat itu datang daripada pengurus sambungan setempat, bukan daripada rangkaian.

Hidupkan surih sebelum membina semula apa-apa. Surih menamakan peringkat yang gagal, dan nama peringkat lebih bernilai daripada teks dialog:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Surih mendarat di bawah direktori surih dan kekal di sana sehingga anda mengosongkannya, jadi matikannya kemudian daripada membiarkannya berjalan berminggu-minggu.

Profil yang bersambung masih boleh merosakkan segala-galanya

Profil yang bersambung dan kemudian merosakkan pelayaran, perkongsian setempat atau enjin kontena mempunyai masalah penghalaan, bukan masalah terowong. Get laluan lalai berpindah ke terowong, jadi setiap destinasi kini melalui rakan yang mungkin tidak menghalakannya.

Dua kawalan menentukan ini. Satu ialah sifat split tunneling pada profil. Yang lain ialah pilihan bagi setiap penyesuai untuk menggunakan get laluan lalai pada rangkaian jauh, yang terletak di bawah tetapan lanjutan IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Menghidupkan split tunneling tanpa menambah laluan menghasilkan terowong yang bersambung dan tidak mencapai apa-apa. Mematikannya tanpa memeriksa DNS menghasilkan nama dalaman yang diselesaikan kepada jawapan awam, kerana akhiran dan pelayan penyesuai itu sendiri tidak digunakan.

Sahkan pemasangan paip, kemudian jenisnya

Bekerja mengikut urutan ini, dan berhenti apabila satu langkah gagal daripada melaraskan semuanya serentak:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Arahan pertama memisahkan kebolehcapaian daripada protokol. Yang kedua mengesahkan apa yang didakwa oleh profil. Jadual laluan menunjukkan sama ada terowong merampas laluan lalai. Arahan dail melaporkan ralat pengurus sambungan itu sendiri, yang selalunya lebih jelas daripada dialog.

Catat jenis terowong, produk gateway dan ralat tepat dalam tiket. Orang seterusnya kemudian tahu dalam satu minit sama ada ini ketidakpadanan protokol, kegagalan sijil atau keputusan penghalaan, daripada bermula dengan “VPN tidak berfungsi”.