Hvilken RRAS-områdegrensesnitt velger en innkommende tunnel?

På en Windows-server med flere område-til-område-grensesnitt er en konsolletikett ikke bare et notat for mennesker. RRAS bruker et bestemt felt fra den innkommende tilkoblingen for å avgjøre hvilket logisk grensesnitt som svarer, og det feltet endres med godkjenningsmetoden. Tar du nøkkelen feil, vil du gi grensesnitt nye navn til noe tilfeldigvis kobler til. Utvalgsregelen, den administrative tilstanden og øktstilstanden er tre atskilte fakta, og bare én av dem handler om navngiving.

Myten: et omdøpt grensesnitt passer til hva som helst

Den fristende rettelsen når en avdeling ikke får tilkobling, er å opprette eller gi et områdegrensesnitt nytt navn til det ligner den som ringer. Det virker for én godkjenningsmetode og svikter stille for de andre, og derfor går samme fremgangsmåte videre med motstridende resultater. Et områdegrensesnitt er et logisk tilkoblingsobjekt med egen destinasjon, beskyttede prefikser og tilstand. Det er ikke den fysiske adapteren som bærer de krypterte pakkene, så et blikk på nettverksadaptere forteller deg ingenting om hvilket områdeobjekt som ble valgt.

Utvalget har heller ingenting med vanlige ekstern tilgang-brukere å gjøre. Hvis VPN-klienter for ansatte ringer inn, har de en annen rolle, og brukernavnene deres deltar aldri i denne tilordningen. Bekreft hvilken rolle den som ringer har, før du leser noe inn i et kjent navn.

Tre godkjenningsformer, tre utvalgsnøkler

Med en forhåndsdelt nøkkel sammenlignes grensesnittets konfigurerte destinasjonsadresse med adressen til den innkommende peeren. Etiketten kan være hva som helst, fordi adressen bærer avgjørelsen. Med brukernavnbasert godkjenning sammenlignes grensesnittets navn med brukernavnet den som ringer oppgir. Her er etiketten nøkkelen, og det er nettopp derfor en navneendring kan se ut til å rette det ene området og ødelegge det andre.

Med certifikater sammenlignes grensesnittets navn med emnenavnet i det fremlagte certifikatet. Navnet må svare til det emnet, og en pen etikett en operatør finner på, duger ikke.

To konsekvenser følger. I ordningen med forhåndsdelt nøkkel kan bare ett grensesnitt være aktivert for en gitt destinasjon, så to avdelinger som deler én observert offentlig adresse, kan ikke begge betjenes av dupliserte oppføringer. Og den metoden du faktisk konfigurerte, er den som gjelder, uansett hva konsollen antyder.

Aktivert er ikke tilkoblet

Administrativ status sier om det logiske grensesnittet har lov til å virke. Tilkoblingstilstand sier om det finnes en økt akkurat nå. Et aktivert grensesnitt uten økt er en normal hviletilstand for en forbindelse som ringer opp ved behov, og å rapportere det som feil sender folk på jakt etter et avbrudd som ikke finnes.

Bruk et navngitt oppslag eller det dokumenterte oppslaget i rutingsdomenet, men ikke begge parametrene sammen, og kjør det i den tiltenkte serverkonteksten. Hvis grensesnittet du forventer mangler i den første listen, ligger problemet før tilstanden: ingenting ble valgt i det hele tatt.

Les paret sammen i stedet for isolert. En forbindelse som skal forbli etablert og vises som frakoblet, fortjener undersøkelse, mens en ledig forbindelse som kobler til ved behov, oppfører seg som designet. I mellomtiden vil et administrativt deaktivert grensesnitt forbli mørkt, uansett hvor mange ganger den andre siden starter ruteren sin på nytt.

Ingen av verdiene beviser at godkjenningen lyktes, at den forhandlede beskyttelsen stemmer, at ruter ble installert, eller at det private programmet er tillatt. Det er fire forskjellige spørsmål med fire forskjellige svar.

Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionState

Les identitetstransaksjonen før du aktiverer noe

Når en innkommende som ringer tilordnes et grensesnitt du ikke forventet, er det nyttige beviset identiteten den fremla, ikke listen over deaktiverte grensesnitt. Hent de siste ekstern tilgang-hendelsene og les adressen til den som ringer, resultatet av godkjenningen og navnet på det valgte grensesnittet. Et deaktivert grensesnitt kan være et bevisst nedlagt område eller en forbudt partner. Å aktivere det for å se om én påloggingsfeil forsvinner, er en konfigurasjonsendring med konsekvenser for ruting og tilgang, så send avgjørelsen gjennom eieren av det områdeforholdet, sammen med destinasjonen, de beskyttede prefiksene og policyen.

Hvis tilordningen virkelig er feil, rett nøkkelen og ikke symptomet: rett certifikatets emne eller, i brukernavntilfellet, grensesnittets navn, og i tilfellet med forhåndsdelt nøkkel destinasjonen. Koble deretter til på nytt én gang og bekreft at den samme som ringer nå velger det tiltenkte objektet.

Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }

Lukk sløyfen med en tillatt operasjon

En grønn tilstand er ikke en aksept. Når riktig grensesnitt er valgt, generer trafikk som designet tillater, fra en vert i ett beskyttet prefiks til en vert i det andre, og bekreft at svaret kommer tilbake samme vei. Kjør samme forsøk fra en vert som skal avvises, ved hjelp av Test-NetConnection -ComputerName 10.44.2.10 -Port 445 mot en tjeneste som designet utelukker, og les ekstern tilgang-hendelsene igjen. En områdeforbindelse som bærer mer enn de tiltenkte prefiksene, eller som svarer for en tjeneste policyen utelukker, er en rutingsfeil som ingen tilstandskontroll vil avdekke.

Skriv godkjenningsmetoden, utvalgsnøkkelen og de tillatte prefiksene sammen i driftshåndboken for området. Den neste ingeniøren vil møte samme tabell med tre verdier, og navnekonvensjonen gir bare mening når den konteksten er skrevet ned.