Windows sin innebygde VPN når ikkje ein leverandør sin SSL-gateway: kvifor

Windows kjem med fire tunneltypar, og ein leverandørgateway er ikkje ein av dei. Retter du likevel ein innebygd profil mot ein, feilar tilkoplinga før påloggingsforespurnaden, vanlegvis med ei melding om at tilkoplinga vart avslutta av det lokale systemet. Den teksten er eit signal om manglande samsvar, ikkje ein diagnose. Profiltypen og klienten som eig protokollen må stemme overeins, og ein av dei manglar.

Fire typar og éin dialog

Kvar lagra profil har ein tunneltype. Den innebygde klienten godtek PPTP, L2TP, IKEv2 og SSTP, i tillegg til ein automatisk modus som prøver dei i rekkefølgje. Det finst ingen generell SSL VPN-oppføring, og det er ingen måte å leggje til éin via dialogen. Ein leverandørgateway snakkar sin eigen applikasjonsprotokoll over TLS, som berre klienten til den leverandøren implementerer.

Lista er éin kommando unna, og ho er verdt å køyre før annan feilsøking fordi ho tek eit sekund og fjernar ein heil klasse av feil føresetnader:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

Viss profilen seier SSTP og gatewayen ikkje er ein RRAS-server, er manglande samsvar alt fastslått. Ingen sertifikat- eller brannmurjobb endrar det.

SSTP og leverandør-TLS ser like ut på port 443

SSTP pakkar ein PPP-økt inn i TLS og går på TCP 443. I Microsoft-stakken vert ho avslutta av RRAS, som viser fram eit serversertifikat som klienten validerer. Ei Fortinet-, Citrix- eller Pulse-eining avsluttar òg TLS på 443, og portalen opnar i kvar nettlesar utan klager.

Den nettlesartesten beviser nåbarheit, ikkje kompatibilitet. Sesjonsprotokollen bak portalen høyrer til leverandøren, og den innebygde klienten har ingen implementasjon av han. Om leverandøren leverer sin eigen klient fortel deg kva halvdel av manglande samsvar du har med å gjere.

Den omvende forvekslinga skjer òg. Ein profil konfigurert som SSTP mot ein ekte RRAS-server kan feile på sertifikatvalidering medan portalen er i orden, og det er eit sertifikatproblem og ikkje eit protokollproblem.

Feil som viser seg før ein tunnel finst

Kodane i 800-serien vert rapporterte før nokon tunnel er etablert, difor flyttar brannmurreglar dei sjeldan. Feil 812 er ein serverpolitikk som avviser autentiseringsmetoden klienten baud på. Andre i området kjem frå den lokale tilkoplingshandsamaren og ikkje frå nettverket.

Slå på sporing før du byggjer opp noko på nytt. Sporinga namngjev trinnet som feilar, og eit trinnnamn er meir verdt enn dialogteksten:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Sporingar hamnar under sporingsmappa og vert der til du ryddar dei, så slå sporinga av etterpå i staden for å la ho gå i veker.

Ein tilkopla profil kan framleis øydeleggje alt

Ein profil som koplar til og deretter øydelegg nettsurfing, ei lokal deling eller ein containermotor har eit ruteproblem, ikkje eit tunnelproblem. Standardgatewayen flytta til tunnelen, så kvar destinasjon går no gjennom ein motpart som kanskje ikkje ruter han.

To kontrollar avgjer dette. Den eine er split-tunneling-eigenskapen på profilen. Den andre er alternativet per adapter for å bruke standardgatewayen på fjernnettverket, som ligg under dei avanserte IPv4-innstillingane.

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

Å slå på split tunneling utan å leggje til ruter gir ein tunnel som koplar til og ikkje når noko. Å slå det av utan å sjekke DNS gir interne namn som løysest til offentlege svar, fordi adapteren sitt eige suffiks og serverar ikkje vert brukte.

Kontroller røyrleggjinga, deretter typen

Arbeid i denne rekkefølgja, og stopp når eit trinn feilar i staden for å justere alt på ein gong:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

Den første kommandoen skil nåbarheit frå protokoll. Den andre stadfestar kva profilen påstår å vere. Rutetabellen viser om tunnelen fanga standardruta. Ringjekommandoen rapporterer tilkoplingshandsamaren sin eigen feil, som ofte er klarare enn dialogen.

Noter tunneltypen, gatewayproduktet og den nøyaktige feilen i saka. Neste person veit då innan eit minutt om det er manglande protokollsamsvar, ein sertifikatfeil eller ei ruteavgjerd, i staden for å byrje med «VPN-en verkar ikkje».