Какой интерфейс сайта RRAS выбирает входящий туннель?
RRAS выбирает входящий интерфейс сайта по адресу партнёра, имени пользователя или субъекту сертификата, поэтому читайте этот ключ отдельно от состояний «включён» и «подключён».
На сервере Windows с несколькими интерфейсами «сайт — сайт» метка в консоли — не просто заметка для людей. RRAS использует определённое поле входящего подключения, чтобы решить, какой логический интерфейс ответит, и это поле меняется вместе с методом проверки подлинности. Ошибётесь с ключом — будете переименовывать интерфейсы, пока что-нибудь не подключится случайно. Правило выбора, административное состояние и состояние сеанса — три отдельных факта, и только один из них про именование.
Миф: переименованный интерфейс подойдёт к чему угодно
Соблазнительное исправление, когда филиал не подключается, — создавать или переименовывать интерфейс сайта, пока он не станет похож на вызывающую сторону. Это работает для одного метода проверки подлинности и тихо отказывает для остальных, поэтому одна и та же процедура ходит по рукам с противоречивыми результатами. Интерфейс сайта — логический объект подключения со своим назначением, защищёнными префиксами и состоянием. Это не физический адаптер, несущий зашифрованные пакеты, поэтому взгляд на сетевые адаптеры ничего не говорит о том, какой объект сайта выбран.
Выбор также никак не связан с обычными пользователями удалённого доступа. Если звонят VPN-клиенты сотрудников, у них другая роль, и их имена пользователей никогда не участвуют в этом сопоставлении. Подтвердите, к какой роли относится вызывающая сторона, прежде чем что-то читать в знакомом имени.
Три формы проверки подлинности, три ключа выбора
С общим ключом настроенный адрес назначения интерфейса сравнивается с адресом входящего партнёра. Метка может быть любой, потому что решение несёт адрес. При проверке подлинности по имени пользователя имя интерфейса сравнивается с именем, которое представляет вызывающая сторона. Здесь метка и есть ключ, и именно поэтому переименование может выглядеть как исправление одного сайта и поломка другого.
С сертификатами имя интерфейса сравнивается с именем субъекта в предъявленном сертификате. Имя должно соответствовать этому субъекту, и красивая метка, придуманная оператором, не подойдёт.
Отсюда два следствия. В схеме с общим ключом для заданного назначения может быть включён только один интерфейс, поэтому два филиала, делящие один наблюдаемый публичный адрес, не могут оба обслуживаться дублирующими записями. И действует тот метод, который вы действительно настроили, что бы ни предлагала консоль.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Включён — не значит подключён
Административное состояние говорит, разрешено ли логическому интерфейсу работать. Состояние подключения говорит, есть ли сеанс прямо сейчас. Включённый интерфейс без сеанса — обычное состояние покоя для соединения по требованию, и сообщение об этом как о неисправности заставляет людей гоняться за простоем, которого нет.
Используйте поиск по имени или документированный поиск по домену маршрутизации, но не оба параметра одновременно, и выполняйте его в нужном контексте сервера. Если ожидаемого интерфейса нет в первом списке, проблема находится до состояния: вообще ничего не выбрано.
Читайте пару вместе, а не по отдельности. Соединение, которое должно оставаться установленным и показывается отключённым, заслуживает разбора, тогда как простаивающее соединение по требованию, подключающееся при необходимости, ведёт себя как задумано. Тем временем административно отключённый интерфейс останется тёмным, сколько бы раз противоположная сторона ни перезапускала свой маршрутизатор.
Ни одно из значений не доказывает, что проверка подлинности прошла, что согласованная защита совпадает, что маршруты установлены или что частному приложению разрешён доступ. Это четыре разных вопроса с четырьмя разными ответами.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateПрочитайте транзакцию идентичности, прежде чем что-либо включать
Когда входящий вызывающий сопоставляется с интерфейсом, которого вы не ждали, полезное доказательство — предъявленная им идентичность, а не список отключённых интерфейсов. Извлеките последние события удалённого доступа и прочитайте адрес вызывающего, результат проверки подлинности и имя выбранного интерфейса. Отключённый интерфейс может быть намеренно выведенным из эксплуатации сайтом или запрещённым партнёром. Включать его, чтобы посмотреть, исчезнет ли одна ошибка входа, — это изменение конфигурации с последствиями для маршрутизации и доступа, поэтому проведите решение через владельца этих отношений сайта, вместе с его назначением, защищёнными префиксами и политикой.
Если сопоставление действительно неверно, исправляйте ключ, а не симптом: исправьте субъект сертификата или, в случае имени пользователя, имя интерфейса, а в случае общего ключа — назначение. Затем один раз переподключитесь и убедитесь, что тот же вызывающий теперь выбирает нужный объект.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Замкните цикл разрешённой операцией
Зелёное состояние — не приёмка. После выбора правильного интерфейса сгенерируйте трафик, который допускает проект, от узла в одном защищённом префиксе к узлу в другом, и подтвердите, что ответ возвращается тем же путём. Выполните ту же попытку с узла, который должен быть отклонён, используя Test-NetConnection -ComputerName 10.44.2.10 -Port 445 против службы, которую проект исключает, и снова прочитайте события удалённого доступа. Соединение сайта, несущее больше своих предусмотренных префиксов или отвечающее за службу, которую политика исключает, — это ошибка маршрутизации, которую не выявит никакая проверка состояния.
Запишите метод проверки подлинности, ключ выбора и разрешённые префиксы вместе в руководство по эксплуатации сайта. Следующий инженер встретит ту же таблицу из трёх значений, и соглашение об именах имеет смысл только тогда, когда этот контекст записан.