Port fil-qasam tal-indirizz tal-VPN ta’ Windows jaħdem biss ma’ SSTP

Server VPN iwieġeb fuq TCP 10443, il-klijent integrat ta’ Windows għandu l-kredenzjali t-tajba, u l-konnessjoni xorta tmut wara waqfa li tidher bħal timeout tad-DNS. Il-kawża normalment hija l-qasam tal-indirizz: it-tipjip ta’ vpn.example.com:10443 f’Isem is-server jew indirizz iġiegħel lil Windows jaqra l-korda kollha bħala isem tal-host, għax dik il-kaxxa mhijiex input ġenerali host:port. Jekk port jistax jiġi espress hemmhekk jiddependi mit-tip ta’ tunnel li juża l-profil, u wieħed biss mill-erba’ tipi jittratta l-valur bħala xi ħaġa li jista’ janalizzaha.

Għaliex il-qasam tal-indirizz mhuwiex kaxxa host:port

Il-proprjetà tal-profil wara dak il-qasam hija ServerAddress, u kull tip ta’ tunnel jiddeċiedi x’jagħmel bil-korda. Tlieta minnhom m’għandhom l-ebda parametru tal-port biex jimlew, għalhekk punt u numru huma sempliċement karattri f’isem li qatt mhu se jiġi riżolt. Ir-raba’ jaħdem fuq HTTPS, fejn port huwa parti mill-URL, għalhekk il-valur irid jinkiteb f’forma li tiġi analizzata bħala URL.

Huwa għalhekk li l-falliment jidher bħal riżoluzzjoni tal-isem u mhux bħala konnessjoni miċħuda. M’hemm l-ebda port ħażin x’jiġi rrappurtat, hemm biss isem tal-host li ma jeżistix, u l-iżball jasal wara li r-riżolutur iċedi. Qabel ma tmiss is-server, iċċekkja liema tip ta’ tunnel il-profil jgħid li juża.

It-tliet tipi b’port fiss

PPTP jgħaqqad ma’ TCP 1723 u mbagħad iġorr it-tunnel f’GRE, protokoll IP 47. L2TP/IPsec juża UDP 1701 għat-tunnel u UDP 500 flimkien ma’ 4500 għall-IPsec, b’4500 bħala l-port tal-qsim tan-NAT. IKEv2 juża wkoll UDP 500 u 4500. L-ebda wieħed minn dawk il-profili ma jesponi qasam tal-port imkien fl-interfaċċa, u l-ebda wieħed mhu se jinnegozja port mhux standard.

Server li jisma’ fuq port personalizzat għalhekk ma jintlaħaqx minn dawk il-profili, tkun kif tkun miktuba l-indirizz. It-tweġibiet prattiċi huma dojoq: ippubblika l-port standard fuq is-server, jew ittraduċi l-port standard għal dak personalizzat fir-router quddiemu. It-tnejn iħallu l-profil tal-klijent ma jitmissx, li jiswa ħafna meta l-profil jiġi implimentat b’politika u mhux ittajpjat bl-idejn.

SSTP jeħtieġ URL, mhux isem

SSTP huwa l-eċċezzjoni għax jaħdem fi ħdan sessjoni TLS. Il-qasam irid jiġi analizzat bħala URL: l-ewwel l-iskema https://, imbagħad il-host, imbagħad punt u l-port. Mingħajr l-iskema, Windows ikompli jittratta l-valur bħala isem sempliċi u l-konnessjoni tfalli qabel ma sseħħ kwalunkwe skambju TLS.

Ir-raġuni għaliex dan tissorprendi lin-nies hija li l-port awtomatiku jaċċetta l-isem tal-host mikxuf. Profil li qatt ma kellu bżonn port personalizzat qatt ma jgħallem ir-regola, u l-ewwel persuna li żżid waħda tiskopriha billi tfalli. Wara li ssalva, aqra l-valur maħżun lura minflok tafda lid-djalogu:

Get-VpnConnection -Name "Corporate SSTP" | Select-Object Name, ServerAddress, TunnelType

ServerAddress juri eżattament dak li ġie maħżun. Jekk jinqara bħala isem tal-host mikxuf b’punt fih, il-profil qatt ma rċieva URL u l-ebda ammont ta’ erġa’ pprova mhu se jsewwih.

Sintassi tal-bejjiegħ li titwaħħal fl-istess kaxxa

Xi gateways jiddokumentaw konvenzjonijiet żejda għal dak il-qasam, bħal realm miżjud wara l-port jew parametri tal-mistoqsija li jbiddlu l-immaniġġjar taċ-ċertifikati. Dawn jinftiehmu mis-server ta’ dak il-bejjiegħ u, f’xi builds, mill-klijent tiegħu stess. Mhumiex parti mill-format tal-profil ta’ Windows, u t-twaħħil tagħhom fi profil integrat normalment jipproduċi l-istess falliment sieket tal-isem.

Ittratta parametru li jiddiżattiva l-validazzjoni taċ-ċertifikat bħala twissija u mhux bħala tiswija. Jekk profil jgħaqqad biss b’dak il-parametru, iċ-ċertifikat ma jaqbilx mal-isem użat, u t-tiswija korretta hija fuq il-gateway, mhux fil-klijent. Realm wara l-port għandu l-istess proprjetà: jagħmel xi ħaġa biss jekk is-server fuq in-naħa l-oħra jistenna dan.

Ipprova l-port, imbagħad aqra l-istadju li jfalli

Ikkonferma li xi ħaġa taċċetta TCP fuq dak il-port min-netwerk tal-klijent qabel ma tagħti l-ħtija lill-profil:

Test-NetConnection vpn.example.com -Port 10443

Is-suċċess jipprova semmiegħ, mhux SSTP. Server web, proxy maqlub jew bilanċatur tat-tagħbija jistgħu jlestu l-handshake TCP u xorta ma jitkellmux SSTP, għalhekk test aħdar b’VPN aħmar hija kombinazzjoni reali. Qabbel is-suġġett taċ-ċertifikat mal-isem fil-profil, u ċċekkja r-reġistru RasClient fil-builds li jfornuh, għax jirreġistra l-istadju li falla minflok timeout ġeneriku.

Imbagħad ikkunsidra l-għażla li tneħħi l-problema minflok tiddokumentaha: ibgħat TCP 443 mill-barra għal 10443 fuq is-server VPN. Il-klijent imbagħad juża l-profil awtomatiku mingħajr ebda port, li normalment hija l-aħjar sistema għal flotta ġestita u tħalli l-port personalizzat bħala dettall intern.