Qual interface de site RRAS um túnel de entrada escolhe?

Num servidor Windows com várias interfaces de site a site, uma etiqueta na consola não é apenas uma nota para pessoas. O RRAS usa um campo específico da ligação de entrada para decidir qual interface lógica responde, e esse campo muda com o método de autenticação. Se errar a chave, vai renomear interfaces até algo se ligar por sorte. A regra de seleção, o estado administrativo e o estado da sessão são três factos separados, e só um deles diz respeito a nomes.

O mito: uma interface renomeada combina com tudo

A correção tentadora quando uma filial não consegue ligar-se é criar ou renomear uma interface de site até ficar parecida com o autor da chamada. Isso funciona para um método de autenticação e falha em silêncio para os outros, e é por isso que o mesmo procedimento circula com resultados contraditórios. Uma interface de site é um objeto de ligação lógico com o seu próprio destino, prefixos protegidos e estado. Não é o adaptador físico que transporta os pacotes cifrados, por isso olhar para os adaptadores de rede não diz nada sobre que objeto de site foi selecionado.

A seleção também nada tem a ver com os utilizadores normais de acesso remoto. Se os clientes VPN dos funcionários marcarem, têm outro papel, e os seus nomes de utilizador nunca participam neste mapeamento. Confirme a que papel pertence o autor da chamada antes de ler algo num nome familiar.

Três formas de autenticação, três chaves de seleção

Com uma chave pré-partilhada, o endereço de destino configurado da interface é comparado com o endereço do par de entrada. A etiqueta pode ser qualquer coisa, porque é o endereço que transporta a decisão. Com autenticação baseada em nome de utilizador, o nome da interface é comparado com o nome de utilizador apresentado pelo autor da chamada. Aqui a etiqueta é a chave, e é exatamente por isso que uma mudança de nome pode parecer corrigir um site e quebrar outro.

Com certificados, o nome da interface é comparado com o nome do assunto no certificado apresentado. O nome tem de corresponder a esse assunto, e uma etiqueta bonita inventada por um operador não serve.

Seguem-se duas consequências. No esquema de chave pré-partilhada só se pode ativar uma interface para um determinado destino, por isso duas filiais que partilham um mesmo endereço público observado não podem ser ambas servidas com entradas duplicadas. E manda o método que realmente configurou, diga o que disser a consola.

Ativado não é ligado

O estado administrativo diz se a interface lógica pode funcionar. O estado da ligação diz se existe uma sessão neste momento. Uma interface ativada sem sessão é um estado de repouso normal para uma ligação que marca a pedido, e comunicá-la como falha manda as pessoas atrás de uma interrupção que não existe.

Use uma pesquisa por nome ou a pesquisa documentada no domínio de encaminhamento, mas não os dois parâmetros em conjunto, e execute-a no contexto de servidor previsto. Se a interface que espera faltar na primeira lista, o problema está antes do estado: não foi selecionado nada de todo.

Leia o par em conjunto e não isoladamente. Uma ligação que deve permanecer estabelecida e aparece desligada merece investigação, enquanto uma ligação inativa que se liga a pedido comporta-se como foi concebida. Entretanto, uma interface desativada administrativamente continuará escura, por muitas vezes que o lado remoto reinicie o seu router.

Nenhum dos valores prova que a autenticação teve êxito, que a proteção negociada coincide, que foram instaladas rotas ou que a aplicação privada é permitida. São quatro perguntas diferentes com quatro respostas diferentes.

Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionState

Leia a transação de identidade antes de ativar o que quer que seja

Quando um autor de chamada de entrada é mapeado para uma interface que não esperava, a prova útil é a identidade que apresentou, não a lista de interfaces desativadas. Extraia os eventos recentes de acesso remoto e leia o endereço do autor da chamada, o resultado da autenticação e o nome da interface selecionada. Uma interface desativada pode ser um site deliberadamente retirado ou um parceiro proibido. Ativá-la para ver se um erro de início de sessão desaparece é uma alteração de configuração com consequências de encaminhamento e acesso, por isso encaminhe a decisão pelo proprietário dessa relação de site, juntamente com o destino, os prefixos protegidos e a política.

Se o mapeamento estiver realmente errado, corrija a chave e não o sintoma: corrija o assunto do certificado ou, no caso do nome de utilizador, o nome da interface, e no caso da chave pré-partilhada o destino. Depois volte a ligar uma vez e confirme que o mesmo autor da chamada passa a selecionar o objeto pretendido.

Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }

Feche o ciclo com uma operação permitida

Um estado verde não é aceitação. Depois de selecionada a interface correta, gere tráfego que o desenho permita, de um anfitrião de um prefixo protegido para um anfitrião do outro, e confirme que a resposta regressa pelo mesmo caminho. Execute a mesma tentativa a partir de um anfitrião que devia ser recusado, usando Test-NetConnection -ComputerName 10.44.2.10 -Port 445 contra um serviço que o desenho exclui, e volte a ler os eventos de acesso remoto. Uma ligação de site que transporta mais do que os prefixos previstos, ou que responde por um serviço que a política exclui, é um erro de encaminhamento que nenhuma verificação de estado revelará.

Registe o método de autenticação, a chave de seleção e os prefixos permitidos em conjunto no manual de operação do site. O próximo engenheiro encontrará a mesma tabela de três valores, e a convenção de nomes só faz sentido quando esse contexto está escrito.