Il-VPN inkorporat ta’ Windows ma jilħaqx gateway SSL tal-fornitur: għaliex

Windows jiġi b’erba’ tipi ta’ mina, u gateway SSL tal-fornitur mhuwiex wieħed minnhom. Xorta waħda tbiżża’ profil inkorporat lejh, u l-konnessjoni tfalli qabel it-talba tal-kredenzjali, normalment b’messaġġ li l-konnessjoni ntemmet mis-sistema lokali. Dak it-test huwa sinjal ta’ nuqqas ta’ qbil, mhux dijanjosi. It-tip tal-profil u l-klijent li jippossjedi l-protokoll iridu jaqblu, u wieħed minnhom nieqes.

Erba’ tipi u djalogu wieħed

Kull profil maħżun iġorr tip ta’ mina. Il-klijent inkorporat jaċċetta PPTP, L2TP, IKEv2 u SSTP, flimkien ma’ mod awtomatiku li jippruvahom fl-ordni. M’hemmx entrata ġenerali SSL VPN, u m’hemmx mod kif iżżid waħda mid-djalogu. Il-gateway tal-fornitur jitkellem il-protokoll tal-applikazzjoni tiegħu stess fuq TLS, li jimplimentah biss il-klijent ta’ dak il-fornitur.

Il-lista hija kmand wieħed ’il bogħod, u tiswa li titħaddem qabel kull soluzzjoni oħra ta’ problemi għax tieħu sekonda u tneħħi klassi sħiħa ta’ suppożizzjonijiet ħżiena:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Jekk il-profil jgħid SSTP u l-gateway mhuwiex server RRAS, in-nuqqas ta’ qbil diġà stabbilit. Ebda xogħol ta’ ċertifikat jew ħajt tan-nar ma jibdlu.

SSTP u TLS tal-fornitur jidhru l-istess fuq il-port 443

SSTP jgeżwer sessjoni PPP ġewwa TLS u jivvjaġġa fuq TCP 443. Fil-munzell Microsoft din tintemm mir-RRAS, li tippreżenta ċertifikat tas-server li l-klijent jivverifika. Apparat Fortinet, Citrix jew Pulse wkoll itemm TLS fuq 443, u l-portal tiegħu jinfetaħ f’kull browser mingħajr ilment.

Dak it-test tal-browser jipprova l-aċċessibbiltà, mhux il-kompatibbiltà. Il-protokoll tas-sessjoni wara l-portal huwa tal-fornitur, u l-klijent inkorporat m’għandux implimentazzjoni tiegħu. Jekk il-fornitur jfornixxi klijent tiegħu stess jgħidlek ma’ liema nofs tan-nuqqas ta’ qbil qed tittratta.

Il-konfużjoni opposta sseħħ ukoll. Profil ikkonfigurat bħala SSTP kontra server RRAS ġenwin jista’ jfalli fil-validazzjoni taċ-ċertifikat waqt li l-portal ikun sew, u dik hija problema taċ-ċertifikat u mhux problema tal-protokoll.

Żbalji li jidhru qabel ma jeżisti mina

Il-kodiċijiet tas-serje 800 jiġu rrappurtati qabel ma tiġi stabbilita kwalunkwe mina, għalhekk ir-regoli tal-ħajt tan-nar rari jċaqalquhom. L-iżball 812 huwa politika tan-naħa tas-server li tirrifjuta l-metodu ta’ awtentikazzjoni offrut mill-klijent. Oħrajn fil-firxa ġejjin mill-maniġer tal-konnessjonijiet lokali u mhux min-netwerk.

Ixgħel it-traċċar qabel ma terġa’ tibni xejn. It-traċċar isemmi l-istadju li jfalli, u isem tal-istadju jiswa aktar mit-test tad-djalogu:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

It-traċċi jinżlu taħt id-direttorju tat-traċċar u jibqgħu hemm sakemm tnaddafhom, mela itfi t-traċċar wara minflok ma tħallih jaħdem għal ġimgħat.

Profil konness xorta jista’ jkisser kollox

Profil li jgħaqqad u mbagħad ikisser il-browsing, kondiviżjoni lokali jew magna tal-kontenituri għandu problema tar-rotot, mhux problema tal-mina. Il-gateway awtomatiku ċċaqlaq lejn il-mina, mela kull destinazzjoni issa tgħaddi minn sieħeb li jista’ ma jirrotahiex.

Żewġ kontrolli jiddeċiedu dan. Wieħed huwa l-propjetà split tunneling fuq il-profil. L-ieħor hija l-għażla għal kull adattatur li tuża l-gateway awtomatiku fuq in-netwerk remot, li tinsab fl-issettjar avvanzat tal-IPv4.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Ixgħel split tunneling mingħajr ma żżid rotot jipproduċi mina li tgħaqqad u ma tilħaq xejn. Itfiħ mingħajr ma tiċċekkja DNS jipproduċi ismijiet interni li jiġu riżolti fi tweġibiet pubbliċi, għax is-suffiss u s-servers tal-adattatur stess ma jintużawx.

Ivverifika l-plaming, imbagħad it-tip

Aħdem f’din l-ordni, u waqaf meta pass ifalli minflok ma taġġusta kollox fl-istess ħin:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

L-ewwel kmand jifred l-aċċessibbiltà mill-protokoll. It-tieni jikkonferma x’jgħid li hu l-profil. It-tabella tar-rotot turi jekk il-mina qabditx ir-rotta awtomatika. Il-kmand tad-dajl jirrapporta l-iżball tal-maniġer tal-konnessjonijiet stess, li spiss ikun iktar ċar mid-djalogu.

Irreġistra t-tip tal-mina, il-prodott tal-gateway u l-iżball eżatt fit-ticket. Imbagħad il-persuna li jmiss tkun taf fi ħdan minuta jekk dan huwiex nuqqas ta’ qbil tal-protokoll, falliment taċ-ċertifikat jew deċiżjoni tar-rotot, minflok tibda minn “il-VPN ma jaħdimx”.