Kva RRAS-områdegrensesnitt vel ein innkomande tunnel?

På ein Windows-tenar med fleire område-til-område-grensesnitt er ei konsolletikett ikkje berre eit notat for menneske. RRAS brukar eit bestemt felt frå den innkomande tilkoplinga for å avgjere kva logisk grensesnitt som svarar, og det feltet endrar seg med godkjenningsmetoden. Tek du nøkkelen feil, vil du gje grensesnitt nye namn til noko tilfeldigvis koplar til. Utvalsregelen, den administrative tilstanden og økttilstanden er tre skilde fakta, og berre eitt av dei handlar om namngjeving.

Myten: eit omdøypt grensesnitt passar til kva som helst

Den freistande rettinga når ei avdeling ikkje får tilkopling, er å opprette eller gje eit områdegrensesnitt nytt namn til det liknar den som ringjer. Det verkar for éin godkjenningsmetode og sviktar stille for dei andre, og difor går same framgangsmåten vidare med motstridande resultat. Eit områdegrensesnitt er eit logisk tilknytingsobjekt med eigen destinasjon, verna prefiks og tilstand. Det er ikkje den fysiske adapteren som ber dei krypterte pakkane, så eit blikk på nettverksadapterar fortel deg ingenting om kva områdeobjekt som vart valt.

Utvalet har heller ingenting med vanlege fjern tilgang-brukarar å gjere. Viss VPN-klientar for tilsette ringjer inn, har dei ei anna rolle, og brukarnamna deira deltek aldri i denne tilordninga. Stadfest kva rolle den som ringjer har, før du les noko inn i eit kjent namn.

Tre godkjenningsformer, tre utvalsnøklar

Med ein på førehand delt nøkkel vert den konfigurerte destinasjonsadressa til grensesnittet samanlikna med adressa til den innkomande peeren. Etiketten kan vere kva som helst, fordi adressa ber avgjerda. Med brukarnamnbasert godkjenning vert namnet på grensesnittet samanlikna med brukarnamnet den som ringjer oppgjev. Her er etiketten nøkkelen, og det er nettopp difor ei namneendring kan sjå ut til å rette det eine området og øydeleggje det andre.

Med sertifikat vert namnet på grensesnittet samanlikna med emnenamnet i det framlagde sertifikatet. Namnet må svare til det emnet, og ein pen etikett ein operatør finn opp, duger ikkje.

To konsekvensar følgjer. I ordninga med på førehand delt nøkkel kan berre eitt grensesnitt vere aktivert for ein gjeven destinasjon, så to avdelingar som deler éi observert offentleg adresse, kan ikkje båe verte betente av dupliserte oppføringar. Og den metoden du faktisk konfigurerte, er den som gjeld, uansett kva konsollen antydar.

Aktivert er ikkje tilkopla

Administrativ status seier om det logiske grensesnittet har løyve til å verke. Tilkoplingstilstand seier om det finst ein økt akkurat no. Eit aktivert grensesnitt utan økt er ein normal kviletiltstand for eit samband som ringjer opp ved behov, og å rapportere det som feil sender folk på jakt etter eit avbrot som ikkje finst.

Bruk eit namngjeve oppslag eller det dokumenterte oppslaget i rutingsdomenet, men ikkje båe parametrane saman, og køyr det i den tiltenkte tenarkonteksten. Viss grensesnittet du ventar manglar i den første lista, ligg problemet før tilstanden: ingenting vart valt i det heile.

Les paret saman i staden for isolert. Eit samband som skal halde fram med å vere etablert og viser seg fråkopla, fortener gransking, medan ei ledig samband som koplar til ved behov, oppfører seg som designa. I mellomtida vil eit administrativt deaktivert grensesnitt halde fram med å vere mørkt, uansett kor mange gonger den andre sida startar ruteren sin på nytt.

Ingen av verdiane provar at godkjenninga lukkast, at den forhandla vernet stemmer, at ruter vart installerte, eller at det private programmet er tillate. Det er fire ulike spørsmål med fire ulike svar.

Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionState

Les identitetstransaksjonen før du aktiverer noko

Når ein innkomande som ringjer vert tilordna eit grensesnitt du ikkje venta, er det nyttige provet identiteten den la fram, ikkje lista over deaktiverte grensesnitt. Hent dei siste fjern tilgang-hendingane og les adressa til den som ringjer, resultatet av godkjenninga og namnet på det valde grensesnittet. Eit deaktivert grensesnitt kan vere eit medvite nedlagt område eller ein forboden partnar. Å aktivere det for å sjå om éin påloggingsfeil forsvinn, er ei konfigurasjonsendring med konsekvensar for ruting og tilgang, så send avgjerda gjennom eigaren av det områdetilhøvet, saman med destinasjonen, dei verna prefiksa og policyen.

Viss tilordninga verkeleg er feil, rett nøkkelen og ikkje symptomet: rett emnet i sertifikatet eller, i brukarnamntilfellet, namnet på grensesnittet, og i tilfellet med på førehand delt nøkkel destinasjonen. Kopla deretter til på nytt éin gong og stadfest at den same som ringjer no vel det tiltenkte objektet.

Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }

Lukk sløyfa med ein tillaten operasjon

Ein grøn tilstand er ikkje ein aksept. Når rett grensesnitt er valt, generer trafikk som designet tillèt, frå ein vert i eitt verna prefiks til ein vert i det andre, og stadfest at svaret kjem tilbake same veg. Køyr same freistnad frå ein vert som skal avvisast, ved hjelp av Test-NetConnection -ComputerName 10.44.2.10 -Port 445 mot ei teneste som designet utelèt, og les fjern tilgang-hendingane igjen. Ei områdesamband som ber meir enn dei tiltenkte prefiksa, eller som svarar for ei teneste policyen utelèt, er ein rutingsfeil som ingen tilstandskontroll vil avdekkje.

Skriv godkjenningsmetoden, utvalsnøkkelen og dei tillatne prefiksa saman i driftshandboka for området. Den neste ingeniøren vil møte same tabell med tre verdiar, og namnekonvensjonen gjev berre meining når den konteksten er skriven ned.