Ce interfață de site RRAS alege un tunel de intrare?

Pe un server Windows cu mai multe interfețe site-la-site, o etichetă din consolă nu este doar o notă pentru oameni. RRAS folosește un câmp anume din conexiunea de intrare pentru a decide ce interfață logică răspunde, iar acel câmp se schimbă cu metoda de autentificare. Dacă greșiți cheia, veți redenumi interfețe până când ceva se conectează din întâmplare. Regula de selecție, starea administrativă și starea sesiunii sunt trei fapte separate, iar doar unul dintre ele ține de denumire.

Mitul: o interfață redenumită se potrivește cu orice

Corectarea tentantă când o sucursală nu se poate conecta este să creați sau să redenumiți o interfață de site până când seamănă cu apelantul. Asta funcționează pentru o metodă de autentificare și eșuează în tăcere pentru celelalte, de aceea aceeași procedură circulă cu rezultate contradictorii. O interfață de site este un obiect de conexiune logic cu propria destinație, prefixe protejate și stare. Nu este adaptorul fizic care transportă pachetele criptate, așa că uitarea la adaptoarele de rețea nu vă spune nimic despre ce obiect de site a fost selectat.

Selecția nu are nicio legătură nici cu utilizatorii obișnuiți de acces la distanță. Dacă se conectează clienți VPN ai angajaților, ei au alt rol, iar numele lor de utilizator nu participă niciodată la această mapare. Confirmați cărui rol aparține apelantul înainte de a citi ceva într-un nume familiar.

Trei forme de autentificare, trei chei de selecție

Cu o cheie partajată în prealabil, adresa de destinație configurată a interfeței este comparată cu adresa partenerului de intrare. Eticheta poate fi orice, pentru că adresa poartă decizia. La autentificarea pe bază de nume de utilizator, numele interfeței este comparat cu numele de utilizator prezentat de apelant. Aici eticheta este cheia, și exact de aceea o redenumire poate părea că repară un site și îl strică pe altul.

Cu certificate, numele interfeței este comparat cu numele subiectului din certificatul prezentat. Numele trebuie să corespundă acelui subiect, iar o etichetă frumoasă inventată de un operator nu va fi suficientă.

Rezultă două consecințe. În aranjamentul cu cheie partajată în prealabil se poate activa o singură interfață pentru o destinație dată, așa că două sucursale care împart o singură adresă publică observată nu pot fi deservite ambele prin intrări duplicate. Și se aplică metoda pe care ați configurat-o efectiv, indiferent ce sugerează consola.

Activat nu înseamnă conectat

Starea administrativă spune dacă interfeței logice îi este permis să funcționeze. Starea conexiunii spune dacă există o sesiune chiar acum. O interfață activată fără sesiune este o stare de repaus normală pentru o legătură care formează apel la cerere, iar raportarea ei ca defecțiune trimite oamenii să caute o întrerupere care nu există.

Folosiți o căutare pe nume sau căutarea documentată în domeniul de rutare, dar nu ambii parametri împreună, și executați-o în contextul de server prevăzut. Dacă interfața așteptată lipsește din prima listă, problema este înaintea stării: nu s-a selectat nimic.

Citiți perechea împreună, nu separat. O legătură care ar trebui să rămână stabilită și apare deconectată merită investigație, în timp ce o legătură inactivă care se conectează la cerere se comportă conform proiectării. Între timp, o interfață dezactivată administrativ va rămâne întunecată, oricât de multe ori partea îndepărtată își repornește routerul.

Niciuna dintre valori nu dovedește că autentificarea a reușit, că protecția negociată corespunde, că au fost instalate rute sau că aplicația privată este permisă. Sunt patru întrebări diferite cu patru răspunsuri diferite.

Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionState

Citiți tranzacția de identitate înainte de a activa ceva

Când un apelant de intrare este mapat pe o interfață pe care nu o așteptați, dovada utilă este identitatea pe care a prezentat-o, nu lista interfețelor dezactivate. Extrageți evenimentele recente de acces la distanță și citiți adresa apelantului, rezultatul autentificării și numele interfeței selectate. O interfață dezactivată poate fi un site retras intenționat sau un partener interzis. A o activa pentru a vedea dacă dispare o eroare de autentificare este o modificare de configurare cu consecințe asupra rutării și accesului, așa că treceți decizia prin proprietarul acelei relații de site, împreună cu destinația, prefixele protejate și politica.

Dacă maparea este într-adevăr greșită, corectați cheia, nu simptomul: corectați subiectul certificatului sau, în cazul numelui de utilizator, numele interfeței, iar în cazul cheii partajate în prealabil destinația. Apoi reconectați o dată și confirmați că același apelant selectează acum obiectul dorit.

Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }

Închideți bucla cu o operațiune permisă

O stare verde nu este acceptare. După ce interfața corectă este selectată, generați trafic pe care proiectarea îl permite, de la un gazdă dintr-un prefix protejat la un gazdă din celălalt, și confirmați că răspunsul se întoarce pe același drum. Rulați aceeași încercare de la un gazdă care ar trebui refuzat, folosind Test-NetConnection -ComputerName 10.44.2.10 -Port 445 împotriva unui serviciu pe care proiectarea îl exclude, și citiți din nou evenimentele de acces la distanță. O legătură de site care transportă mai mult decât prefixele prevăzute, sau care răspunde pentru un serviciu exclus de politică, este o eroare de rutare pe care nicio verificare de stare nu o va dezvălui.

Înregistrați metoda de autentificare, cheia de selecție și prefixele permise împreună în manualul de operare al site-ului. Următorul inginer va întâlni același tabel cu trei valori, iar convenția de denumire are sens doar după ce acel context este scris.