Welke RRAS-site-interface kiest een inkomende tunnel?
RRAS kiest een inkomende site-interface op basis van peeradres, gebruikersnaam of certificaatonderwerp, dus lees die sleutel los van de statussen ingeschakeld en verbonden.
Op een Windows-server met meerdere site-naar-site-interfaces is een consolelabel niet zomaar een notitie voor mensen. RRAS gebruikt een bepaald veld uit de inkomende verbinding om te bepalen welke logische interface antwoordt, en dat veld verandert mee met de verificatiemethode. Kies je de sleutel verkeerd, dan hernoem je interfaces tot er toevallig iets verbindt. De selectieregel, de beheerstatus en de sessiestatus zijn drie afzonderlijke feiten, en slechts één ervan gaat over naamgeving.
De mythe: een hernoemde interface past bij alles
De verleidelijke oplossing wanneer een vestiging niet kan verbinden, is een site-interface aanmaken of hernoemen tot die op de beller lijkt. Dat werkt voor één verificatiemethode en faalt stil voor de andere, en daarom gaat dezelfde procedure met tegenstrijdige resultaten rond. Een site-interface is een logisch verbindingsobject met een eigen bestemming, beschermde prefixen en status. Het is niet de fysieke adapter die de versleutelde pakketten draagt, dus naar netwerkadapters kijken zegt niets over welk site-object is geselecteerd.
De selectie heeft ook niets te maken met gewone gebruikers van externe toegang. Als VPN-clients van medewerkers inbellen, hebben die een andere rol, en hun gebruikersnamen doen nooit mee aan deze toewijzing. Controleer tot welke rol de beller behoort voordat je iets in een bekende naam leest.
Drie verificatievormen, drie selectiesleutels
Met een vooraf gedeelde sleutel wordt het geconfigureerde bestemmingsadres van de interface vergeleken met het adres van de inkomende peer. Het label mag van alles zijn, want het adres draagt de beslissing. Bij verificatie op gebruikersnaam wordt de interfacenaam vergeleken met de gebruikersnaam die de beller opgeeft. Hier is het label de sleutel, en dat is precies waarom een hernoeming het ene site lijkt te repareren en het andere breekt.
Met certificaten wordt de interfacenaam vergeleken met de onderwerpnaam in het aangeboden certificaat. De naam moet met dat onderwerp overeenkomen, en een mooi label dat een beheerder verzint, voldoet niet.
Daaruit volgen twee gevolgen. In de opzet met een vooraf gedeelde sleutel kan voor een bepaalde bestemming maar één interface zijn ingeschakeld, dus twee vestigingen die één waargenomen openbaar adres delen, kunnen niet beide via dubbele vermeldingen worden bediend. En de methode die je werkelijk hebt geconfigureerd, is bepalend, wat de console ook suggereert.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Ingeschakeld is niet verbonden
De beheerstatus zegt of de logische interface mag werken. De verbindingsstatus zegt of er nu een sessie is. Een ingeschakelde interface zonder sessie is een normale ruststand voor een verbinding op verzoek, en dat als storing melden stuurt mensen achter een onderbreking aan die er niet is.
Gebruik een naamgerichte opzoeking of de gedocumenteerde opzoeking in het routeringsdomein, maar niet beide parameters tegelijk, en voer die uit in de bedoelde servercontext. Ontbreekt de verwachte interface in de eerste lijst, dan ligt het probleem vóór de status: er is helemaal niets geselecteerd.
Lees het paar samen in plaats van los. Een verbinding die ingesteld hoort te blijven en als verbroken verschijnt, verdient onderzoek, terwijl een lege verbinding op verzoek die verbindt wanneer nodig, zich gedraagt zoals ontworpen. Ondertussen blijft een beheermatig uitgeschakelde interface donker, hoe vaak de andere kant zijn router ook herstart.
Geen van beide waarden bewijst dat de verificatie is geslaagd, dat de onderhandelde bescherming klopt, dat routes zijn geïnstalleerd of dat de privétoepassing is toegestaan. Dat zijn vier verschillende vragen met vier verschillende antwoorden.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateLees de identiteitstransactie voordat je iets inschakelt
Wanneer een inkomende beller aan een interface wordt toegewezen die je niet verwachtte, is het nuttige bewijs de identiteit die hij aanbood, niet de lijst met uitgeschakelde interfaces. Haal de recente gebeurtenissen voor externe toegang op en lees het adres van de beller, de uitkomst van de verificatie en de naam van de geselecteerde interface. Een uitgeschakelde interface kan een bewust buiten gebruik gestelde site of een verboden partner zijn. Die inschakelen om te zien of één aanmeldingsfout verdwijnt, is een configuratiewijziging met gevolgen voor routering en toegang, dus leid de beslissing via de eigenaar van die site-relatie, samen met de bestemming, de beschermde prefixen en het beleid.
Is de toewijzing echt onjuist, corrigeer dan de sleutel en niet het symptoom: corrigeer het certificaatonderwerp of, in het geval van de gebruikersnaam, de interfacenaam, en in het geval van de vooraf gedeelde sleutel de bestemming. Verbind daarna één keer opnieuw en bevestig dat dezelfde beller nu het bedoelde object selecteert.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Sluit de lus met een toegestane bewerking
Een groene status is geen acceptatie. Zodra de juiste interface is geselecteerd, genereer je verkeer dat het ontwerp toestaat, van een host in het ene beschermde prefix naar een host in het andere, en bevestig je dat het antwoord via dezelfde weg terugkomt. Voer dezelfde poging uit vanaf een host die geweigerd hoort te worden, met behulp van Test-NetConnection -ComputerName 10.44.2.10 -Port 445 tegen een dienst die het ontwerp uitsluit, en lees de gebeurtenissen voor externe toegang opnieuw. Een siteverbinding die meer draagt dan de bedoelde prefixen, of die antwoordt voor een dienst die het beleid uitsluit, is een routeringsfout die geen enkele statuscontrole zal onthullen.
Leg de verificatiemethode, de selectiesleutel en de toegestane prefixen samen vast in het beheerhandboek van de site. De volgende engineer treft dezelfde tabel met drie waarden, en de naamgevingsconventie heeft pas zin als die context is opgeschreven.