Który interfejs lokacji RRAS wybiera tunel przychodzący?
RRAS wybiera interfejs lokacji przychodzącej na podstawie adresu partnera, nazwy użytkownika lub podmiotu certyfikatu, więc czytaj ten klucz osobno od stanów włączony i połączony.
Na serwerze Windows z kilkoma interfejsami lokacja-do-lokacji etykieta w konsoli nie jest tylko notatką dla ludzi. RRAS używa konkretnego pola z połączenia przychodzącego, aby zdecydować, który interfejs logiczny odpowie, i to pole zmienia się wraz z metodą uwierzytelniania. Pomylisz klucz i będziesz zmieniać nazwy interfejsów, aż coś połączy się przypadkiem. Reguła wyboru, stan administracyjny i stan sesji to trzy odrębne fakty, a tylko jeden z nich dotyczy nazewnictwa.
Mit: przemianowany interfejs dopasuje się do wszystkiego
Kusząca poprawka, gdy oddział nie może się połączyć, polega na utworzeniu lub przemianowaniu interfejsu lokacji, aż będzie przypominał dzwoniącego. To działa dla jednej metody uwierzytelniania i po cichu zawodzi dla pozostałych, dlatego ta sama procedura krąży ze sprzecznymi wynikami. Interfejs lokacji to logiczny obiekt połączenia z własnym miejscem docelowym, chronionymi prefiksami i stanem. To nie jest fizyczny adapter przenoszący zaszyfrowane pakiety, więc patrzenie na adaptery sieciowe nic nie mówi o tym, który obiekt lokacji został wybrany.
Wybór nie ma też nic wspólnego ze zwykłymi użytkownikami dostępu zdalnego. Jeśli klienci VPN pracowników dzwonią, mają inną rolę, a ich nazwy użytkownika nigdy nie uczestniczą w tym mapowaniu. Potwierdź, do jakiej roli należy dzwoniący, zanim odczytasz cokolwiek ze znanej nazwy.
Trzy formy uwierzytelniania, trzy klucze wyboru
Przy wstępnie udostępnionym kluczu skonfigurowany adres docelowy interfejsu jest porównywany z adresem przychodzącego partnera. Etykieta może być dowolna, bo decyzję niesie adres. Przy uwierzytelnianiu opartym na nazwie użytkownika nazwa interfejsu jest porównywana z nazwą użytkownika podaną przez dzwoniącego. Tutaj etykieta jest kluczem i właśnie dlatego zmiana nazwy może wyglądać tak, jakby naprawiała jedną lokację, a psuła inną.
Przy certyfikatach nazwa interfejsu jest porównywana z nazwą podmiotu w przedstawionym certyfikacie. Nazwa musi odpowiadać temu podmiotowi, a ładna etykieta wymyślona przez operatora nie wystarczy.
Wynikają z tego dwie konsekwencje. W układzie ze wstępnie udostępnionym kluczem dla danego miejsca docelowego można włączyć tylko jeden interfejs, więc dwa oddziały dzielące jeden obserwowany adres publiczny nie mogą być obsługiwane oba przez zduplikowane wpisy. I obowiązuje ta metoda, którą faktycznie skonfigurowałeś, niezależnie od tego, co sugeruje konsola.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Włączony nie znaczy połączony
Stan administracyjny mówi, czy interfejs logiczny może działać. Stan połączenia mówi, czy istnieje teraz sesja. Włączony interfejs bez sesji to normalny stan spoczynku dla łącza wybieranego na żądanie, a zgłaszanie go jako usterki wysyła ludzi za awarią, której nie ma.
Użyj wyszukiwania po nazwie albo udokumentowanego wyszukiwania w domenie routingu, ale nie obu parametrów razem, i uruchom je w zamierzonym kontekście serwera. Jeśli oczekiwanego interfejsu nie ma na pierwszej liście, problem leży przed stanem: nic nie zostało wybrane.
Czytaj parę razem, a nie osobno. Łącze, które ma pozostać ustanowione, a pokazuje rozłączenie, zasługuje na zbadanie, podczas gdy bezczynne łącze wybierane na żądanie zachowuje się zgodnie z projektem. Tymczasem administracyjnie wyłączony interfejs pozostanie ciemny, ilekroć druga strona zrestartuje swój router.
Żadna z tych wartości nie dowodzi, że uwierzytelnianie się powiodło, że wynegocjowana ochrona się zgadza, że trasy zostały zainstalowane albo że prywatna aplikacja jest dozwolona. To cztery różne pytania z czterema różnymi odpowiedziami.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStatePrzeczytaj transakcję tożsamości, zanim cokolwiek włączysz
Gdy przychodzący dzwoniący zostanie zmapowany na interfejs, którego się nie spodziewałeś, przydatnym dowodem jest tożsamość, którą przedstawił, a nie lista wyłączonych interfejsów. Pobierz ostatnie zdarzenia dostępu zdalnego i przeczytaj adres dzwoniącego, wynik uwierzytelniania i nazwę wybranego interfejsu. Wyłączony interfejs może być celowo wycofaną lokacją albo zabronionym partnerem. Włączenie go, aby sprawdzić, czy jeden błąd logowania zniknie, jest zmianą konfiguracji z konsekwencjami dla routingu i dostępu, więc przeprowadź decyzję przez właściciela tej relacji lokacji, wraz z jej miejscem docelowym, chronionymi prefiksami i polityką.
Jeśli mapowanie jest naprawdę błędne, popraw klucz, a nie objaw: popraw podmiot certyfikatu albo w przypadku nazwy użytkownika nazwę interfejsu, a w przypadku wstępnie udostępnionego klucza miejsce docelowe. Następnie połącz się jeszcze raz i potwierdź, że ten sam dzwoniący wybiera teraz zamierzony obiekt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Zamknij pętlę dozwoloną operacją
Zielony stan nie jest akceptacją. Po wybraniu właściwego interfejsu wygeneruj ruch, który dopuszcza projekt, z hosta w jednym chronionym prefiksie do hosta w drugim, i potwierdź, że odpowiedź wraca tą samą drogą. Wykonaj tę samą próbę z hosta, który powinien zostać odrzucony, używając Test-NetConnection -ComputerName 10.44.2.10 -Port 445 przeciwko usłudze, którą projekt wyklucza, i odczytaj ponownie zdarzenia dostępu zdalnego. Łącze lokacji, które przenosi więcej niż zamierzone prefiksy albo odpowiada za usługę wykluczoną przez politykę, jest błędem routingu, którego nie ujawni żadna kontrola stanu.
Zapisz metodę uwierzytelniania, klucz wyboru i dozwolone prefiksy razem w instrukcji eksploatacji lokacji. Następny inżynier spotka tę samą tabelę z trzema wartościami, a konwencja nazewnictwa ma sens tylko wtedy, gdy ten kontekst jest zapisany.